Zmena adresy IPsec partnera na ASA bez prerušenia tunela
Presun adresy partnera sa dotýka zoznamu kandidátov, zhody profilu, podkladovej siete a aktívnych relácií. Prejdite kontrolný zoznam v poradí.
Zmena adresy partnera vyzerá ako jeden riadok, ale správa sa ako migrácia. V skutočnosti sa presúva množina objektov: zoznam kandidátov partnerov v crypto map, profil alebo mapovanie autentifikácie, ktoré identifikuje vzdialený koniec,podkladová sieť, ktorá sa k nemu dostane, a aktívne asociácie postavené na starých hodnotách. Úpravu konfigurácie berte ako posledný krok tejto množiny, nie prvý.
1. Predtým, než sa čohokoľvek dotknete, zaznamenajte aktuálny stav
Začnite celým zoznamom kandidátov pre príslušný crypto-map záznam, v poradí, nielen adresou, o ktorej si myslíte, že sa používa. Poradie je dôležité, pretože práve to zariadenie skúša.
Zaznamenajte ho pomocoushow run crypto mapa prečítajte efektívny záznam pomocoushow crypto map, potom oba výstupy uložte vedľa plánovanej novej hodnoty. Poznačte si aj to, ktorého partnera si vybrala každá existujúca asociácia, kým ste tam.
To isté urobte pre vrstvu relácií, pomocoushow vpn-sessiondb l2lashow crypto ipsec sa peer <old-address>. Tieto dva výstupy sú váš obrázok pred zmenou, keď sa niekto spýta, prečo tunel padol o 02:10.
2. Dokážte, že nový partner je dostupný pod tou istou politikou
Dokážte dostupnosť pred naplánovaním prepnutia. Spusteniepacket-tracerz vnútorného rozhrania smerom k chránenej sieti nového partnera ukáže, či smerovanie, výnimka NAT a prístupová politika súhlasia. Potom potvrďte transportnú cestu, pretože IKE a IPsec potrebujú UDP 500 a 4500, aby prešli akýmkoľvek filtrom medzi bránami. Úspešný ping sám o sebe nič z toho nedokazuje.
Ak podkladová sieť potrebuje trasu alebo zmenu prekladu, je to druhá zmena s vlastným rizikom. Zlúčte ju do toho istého okna alebo ju naplánujte samostatne, ale rozhodnite, ktorú, namiesto toho, aby ste to zistili uprostred prepnutia.
3. Presuňte mapovanie profilu, nielen adresu
Výber partnera a výber profilu sú dve rôzne vyhľadávania. Profil pripojenia LAN-to-LAN drží všeobecné atribúty a môže sa zhodovať podľa adresy, identity certifikátu alebo názvu skupiny. Zmena IP nemení, ktorý profil sa zhoduje, keď profil vychádza z predmetu certifikátu.
| Objekt | Na čom je kľúčovaný | Čoho sa nová adresa partnera dotýka |
|---|---|---|
| Zoznam kandidátov crypto map | Nakonfigurované záznamy partnerov a ich poradie | Kam ASA posiela svoje prvé pakety |
| Profil pripojenia | Adresa, identita certifikátu alebo skupina | Iba profily kľúčované na adresu |
| Chránené prefixy | Lokálne a vzdialené sieťové objekty | Nič, pokiaľ ich tiež nezmeníte |
Zachovajte zmluvu o povereniach nedotknutú. Zmena adresy nie je dôvod na zmiernenie kontrol identity ani na prilepenie ukážkového pre-shared key do tiketu.
4. Sledujte aktívne relácie, kým existujú obaja kandidáti
Kým obe adresy stoja v zozname kandidátov, písomne rozhodnite, či je stará záložná alebo zvyšok. Konfigurácia obsahujúca obe je platná a nič nedokazuje o tom, ktorý partner niesol poslednú reláciu.
Vyčistite zastarané bezpečnostné asociácie iba formou obmedzenou na partnera pre vaše vydanie,clear crypto ipsec sa peer <address>, a očakávajte, že dotknuté tunely budú znovu vyjednávať. Globálny reset zhodí každú reláciu na zariadení a v pracovnom čase nebude odpustený.
Potom prepustite jeden skutočný aplikačný tok z chráneného hostiteľa a potvrďte, že odpoveď sa vracia cez zamýšľaný koncový bod.show vpn-sessiondb l2lby mal uviesť nového partnera pre túto reláciu a počítadlá bajtov by sa mali hýbať.
5. Ukončite to alebo vráťte späť
Napíšte vrátenie pred zmenou: starý zoznam kandidátov, staré mapovanie profilu a starý záznam podkladovej siete. Udržujte nezávislú cestu správy k ASA, pretože úprava adresy partnera, ktorá vás pripraví aj o prístup, je dlhý večer. Odstráňte zastaraného partnera a poverenia až po akceptácii a po zaznamenaní rozhodnutia o zálohe. Potvrďte aj to, že prístupová politika v chránených sieťach sa neposunula.
Migrácia je hotová, keď sa zamýšľaný partner autentifikuje a nesie požadovanú službu pod zachovanou politikou. Nová adresa v bežiacej konfigurácii je dôkazom písania, nie úspechu.