Promjena IPsec peer adrese na ASA bez prekida tunela
Premještanje peer adrese dira listu kandidata, mapiranje profila, podložnu mrežu i aktivne sesije. Prođite kontrolnu listu po redu.
Promjena peer adrese izgleda kao jedan red, ali se ponaša kao migracija. Ono što se zapravo pomjera jest skup objekata: lista kandidata peerova na crypto map, profil ili mapiranje autentikacije koje identificira udaljenu stranu,podložna mreža koja do nje dolazi, i aktivne asocijacije izgrađene na starim vrijednostima. Tretirajte izmjenu konfiguracije kao posljednji korak tog skupa, a ne prvi.
1. Zabilježite trenutno stanje prije nego što bilo šta dirnete
Počnite s cijelom listom kandidata za odgovarajući crypto-map unos, po redu, a ne samo s adresom za koju mislite da je u upotrebi. Redoslijed je važan jer je to ono što uređaj zaista pokušava.
Zabilježite je pomoćushow run crypto mapi pročitajte efektivni unos pomoćushow crypto map, pa sačuvajte oba izlaza pored predviđene nove vrijednosti. Zapišite i koji je peer odabrala svaka postojeća asocijacija, dok ste tamo.
Isto uradite i za sloj sesija, koristećishow vpn-sessiondb l2lishow crypto ipsec sa peer <old-address>. Ta dva izlaza su vaša slika prije promjene kada vas neko pita zašto je tunel pao u 02:10.
2. Dokažite da je novi peer dostupan pod istom politikom
Dokažite dostupnost prije nego zakažete prebacivanje. Pokretanjepacket-tracers unutrašnjeg interfejsa prema zaštićenoj mreži novog peera pokazuje slažu li se rutiranje, izuzimanje NAT-a i pristupna politika. Zatim potvrdite transportni put, jer IKE i IPsec trebaju UDP 500 i 4500 da bi prošli bilo koji filter između gatewaya. Uspješan ping sam po sebi ništa od toga ne dokazuje.
Ako podložnoj mreži treba ruta ili promjena prevođenja, to je druga promjena s vlastitim rizikom. Objedinite je u isti prozor ili je zakažite odvojeno, ali odlučite šta, umjesto da to otkrijete usred prebacivanja.
3. Premjestite mapiranje profila, ne samo adresu
Odabir peera i odabir profila su različite pretrage. Profil LAN-to-LAN veze drži općenite atribute i može se podudarati po adresi, identitetu certifikata ili nazivu grupe. Promjena IP-a ne mijenja koji se profil podudara kada se profil oslanja na subjekt certifikata.
| Objekat | Po čemu je ključan | Šta nova peer adresa dira |
|---|---|---|
| Lista kandidata crypto map | Konfigurisani peer unosi i njihov redoslijed | Kuda ASA šalje svoje početne pakete |
| Profil veze | Adresa, identitet certifikata ili grupa | Samo profili ključani po adresi |
| Zaštićeni prefiksi | Objekti lokalne i udaljene mreže | Ništa, osim ako ih i vi ne promijenite |
Sačuvajte ugovor o akreditivima netaknutim. Promjena adrese nije razlog za popuštanje provjera identiteta, niti razlog da zalijepite primjer pre-shared key u tiket.
4. Posmatrajte aktivne sesije dok postoje oba kandidata
Dok su obje adrese na listi kandidata, pismeno odlučite je li stara rezerva ili ostaci. Konfiguracija koja sadrži obje je valjana i ništa ne dokazuje o tome koji je peer nosio posljednju sesiju.
Brišite zastarjele sigurnosne asocijacije samo oblikom ograničenim na peera za vaše izdanje,clear crypto ipsec sa peer <address>, i očekujte da će pogođeni tuneli ponovo pregovarati. Globalni reset ruši svaku sesiju na uređaju i neće biti oprošten u radno vrijeme.
Zatim propustite jedan stvarni aplikacijski tok sa zaštićenog hosta i potvrdite da se odgovor vraća kroz predviđenu krajnju točku.show vpn-sessiondb l2ltreba navesti novog peera za tu sesiju, a brojači bajtova treba da se pomjeraju.
5. Zatvorite ili vratite
Napišite vraćanje prije promjene: stara lista kandidata, staro mapiranje profila i stari unos podložne mreže. Održavajte neovisnu putanju upravljanja do ASA-e, jer izmjena peer adrese koja vas dodatno košta pristupa je duga večer. Uklonite zastarjelog peera i akreditive tek nakon prihvatanja i nakon što je odluka o rezervi zabilježena. Potvrdite i da pristupna politika na zaštićenim mrežama nije odlutala.
Migracija je završena kada se predviđeni peer autentificira i nosi traženu uslugu pod očuvanom politikom. Nova adresa u tekućoj konfiguraciji dokaz je tipkanja, a ne uspjeha.