Изменить адрес IPsec-пира на ASA, не разорвав туннель
Перенос адреса пира затрагивает список кандидатов, сопоставление профиля, underlay и активные сеансы. Пройдите контрольный список по порядку.
Изменение адреса пира выглядит как одна строка, но ведёт себя как миграция. На самом деле перемещается набор объектов: список кандидатов пиров в crypto map, профиль или сопоставление аутентификации, идентифицирующее дальний конец,underlay, который до него доходит, и активные ассоциации, построенные на старых значениях. Считайте правку конфигурации последним шагом этого набора, а не первым.
1. Зафиксируйте текущее состояние, прежде чем что-либо трогать
Начните с полного списка кандидатов для соответствующей записи crypto-map, по порядку, а не только с адреса, который, по вашему мнению, используется. Порядок важен, потому что именно его устройство и пробует.
Зафиксируйте его командойshow run crypto mapи прочитайте действующую запись командойshow crypto map, затем сохраните оба вывода рядом с планируемым новым значением. Там же отметьте, какого пира выбрала каждая существующая ассоциация.
Сделайте то же для уровня сеансов, командойshow vpn-sessiondb l2lиshow crypto ipsec sa peer <old-address>. Эти два вывода — ваша картина до изменения, когда кто-то спросит, почему туннель упал в 02:10.
2. Докажите, что новый пир доступен при той же политике
Докажите доступность до планирования переключения. Запускpacket-tracerс внутреннего интерфейса в защищённую сеть нового пира показывает, согласуются ли маршрутизация, исключение NAT и политика доступа. Затем подтвердите транспортный путь: IKE и IPsec нужны UDP 500 и 4500, чтобы пройти любой фильтр между шлюзами. Успешный ping сам по себе ничего из этого не доказывает.
Если underlay требует маршрута или изменения трансляции, это второе изменение с собственным риском. Объедините его в то же окно или запланируйте отдельно, но решите, что именно, а не выясняйте это посреди переключения.
3. Переносите сопоставление профиля, а не только адрес
Выбор пира и выбор профиля — два разных поиска. Профиль подключения LAN-to-LAN хранит общие атрибуты и может совпадать по адресу, идентичности сертификата или имени группы. Смена IP не меняет, какой профиль совпадёт, если профиль опирается на субъект сертификата.
| Объект | По чему он сопоставляется | Что затрагивает новый адрес пира |
|---|---|---|
| Список кандидатов crypto map | Настроенные записи пиров и их порядок | Куда ASA отправляет свои первые пакеты |
| Профиль подключения | Адрес, идентичность сертификата или группа | Только профили, привязанные к адресу |
| Защищённые префиксы | Локальные и удалённые сетевые объекты | Ничего, если вы их тоже не измените |
Сохраняйте контракт учётных данных неизменным. Смена адреса не повод ослаблять проверки идентичности и не повод вставлять пример pre-shared key в тикет.
4. Наблюдайте за активными сеансами, пока существуют оба кандидата
Пока оба адреса стоят в списке кандидатов, письменно решите, старый — это резерв или остаток. Конфигурация с обоими допустима, и она ничего не доказывает о том, какой пир нёс последний сеанс.
Очищайте устаревшие ассоциации безопасности только формой, ограниченной пиром, для вашей версии,clear crypto ipsec sa peer <address>, и ждите, что затронутые туннели проведут переговоры заново. Глобальный сброс роняет все сеансы на устройстве и не будет прощён в рабочее время.
Затем пропустите один реальный поток приложения с защищённого хоста и подтвердите, что ответ возвращается через предполагаемую конечную точку.show vpn-sessiondb l2lдолжен назвать нового пира для этого сеанса, а счётчики байт должны двигаться.
5. Закройте или откатите
Напишите откат до изменения: старый список кандидатов, старое сопоставление профиля и старая запись underlay. Держите независимый путь управления к ASA, потому что правка адреса пира, которая ещё и отнимает доступ, — это долгий вечер. Удаляйте устаревшего пира и учётные данные только после приёмки и после фиксации решения о резерве. Убедитесь также, что политика доступа в защищённых сетях не уехала.
Миграция завершена, когда предполагаемый пир проходит аутентификацию и несёт требуемую службу при сохранённой политике. Новый адрес в работающей конфигурации — доказательство набора, а не успеха.