Sprememba naslova partnerja IPsec na ASA brez prekinitve tunela
Premik naslova partnerja se dotakne seznama kandidatov, ujemanja profila, spodnje plasti in aktivnih sej. Preverite kontrolni seznam po vrsti.
Sprememba naslova partnerja je videti kot ena vrstica, a se obnaša kot selitev. V resnici se premakne niz objektov: seznam kandidatov partnerjev v crypto map, profil ali preslikava preverjanja pristnosti, ki prepozna oddaljeni konec,spodnja plast, ki ga doseže, in aktivne povezave, zgrajene iz starih vrednosti. Urejanje konfiguracije obravnavajte kot zadnji korak tega niza, ne prvega.
1. Zabeležite trenutno stanje, preden se česar koli dotaknete
Začnite s celotnim seznamom kandidatov za ustrezni vnos crypto-map, po vrsti, ne le z naslovom, za katerega menite, da je v uporabi. Vrstni red je pomemben, ker je to tisto, kar naprava v resnici poskuša.
Zabeležite ga zshow run crypto mapin preberite dejanski vnos zshow crypto map, nato oba izhoda shranite poleg načrtovane nove vrednosti. Medtem zapišite tudi, katerega partnerja je izbrala vsaka obstoječa povezava.
Enako storite za plast sej, zshow vpn-sessiondb l2linshow crypto ipsec sa peer <old-address>. Ta dva izhoda sta vaša slika pred spremembo, ko se nekdo vpraša, zakaj je tunel padel ob 02:10.
2. Dokažite, da je novi partner dosegljiv pod isto politiko
Dokažite dosegljivost, preden načrtujete preklop. Zagonpacket-tracerz notranjega vmesnika proti zaščitenemu omrežju novega partnerja pokaže, ali se usmerjanje, izjema NAT in politika dostopa ujemajo. Nato potrdite transportno pot, ker IKE in IPsec potrebujeta UDP 500 in 4500, da preideta skozi kateri koli filter med prehodoma. Uspešen ping sam po sebi nič od tega ne dokaže.
Če spodnja plast potrebuje pot ali spremembo pretvorbe, je to druga sprememba z lastnim tveganjem. Združite jo v isto okno ali jo načrtujte ločeno, vendar se odločite, katero, namesto da bi to odkrili sredi preklopa.
3. Premaknite preslikavo profila, ne le naslova
Izbira partnerja in izbira profila sta dve različni iskanji. Profil povezave LAN-to-LAN hrani splošne atribute in se lahko ujema po naslovu, identiteti potrdila ali imenu skupine. Sprememba IP ne spremeni, kateri profil se ujema, ko se profil opira na subjekt potrdila.
| Objekt | Na čem je ključen | Česa se dotakne nov naslov partnerja |
|---|---|---|
| Seznam kandidatov crypto map | Nastavljeni vnosi partnerjev in njihov vrstni red | Kam ASA pošilja svoje prve pakete |
| Profil povezave | Naslov, identiteta potrdila ali skupina | Samo profili, ključeni na naslov |
| Zaščiteni predponi | Lokalni in oddaljeni omrežni objekti | Nič, razen če jih spremenite tudi vi |
Ohranite pogodbo o poverilnicah nedotaknjeno. Sprememba naslova ni razlog za popuščanje preverjanj identitete in ne razlog za lepljenje vzorčnega pre-shared key v zahtevek.
4. Opazujte aktivne seje, dokler obstajata oba kandidata
Dokler sta oba naslova na seznamu kandidatov, pisno odločite, ali je stari rezerva ali ostanek. Konfiguracija z obema je veljavna in nič ne dokazuje o tem, kateri partner je nosil zadnjo sejo.
Počistite zastarele varnostne povezave samo z obliko, omejeno na partnerja, za vašo izdajo,clear crypto ipsec sa peer <address>, in pričakujte, da bodo prizadeti tuneli znova pogajali. Globalna ponastavitev podre vsako sejo na napravi in v delovnem času ne bo odpuščena.
Nato spustite en resničen aplikacijski tok z zaščitenega gostitelja in potrdite, da se odgovor vrne skozi predvideno končno točko.show vpn-sessiondb l2lbi moral navesti novega partnerja za to sejo, števci bajtov pa bi se morali premikati.
5. Zaključite ali povrnite
Pred spremembo napišite povrnitev: stari seznam kandidatov, staro preslikavo profila in stari vnos spodnje plasti. Ohranite neodvisno pot upravljanja do ASA, ker je urejanje naslova partnerja, ki vam vzame tudi dostop, dolg večer. Zastarelega partnerja in poverilnice odstranite šele po sprejemu in po zapisu odločitve o rezervi. Potrdite tudi, da politika dostopa v zaščitenih omrežjih ni zdrsela.
Selitev je končana, ko se predvideni partner preveri in nosi zahtevano storitev pod ohranjeno politiko. Nov naslov v delujoči konfiguraciji je dokaz tipkanja, ne uspeha.