Ndryshimi i adresës së peer IPsec në një ASA pa thyer tunelin
Zhvendosja e adresës së peer prek listën e kandidatëve, përputhjen e profilit, underlay-n dhe sesionet aktive. Ndigni listën e kontrollit me radhë.
Një ndryshim adrese peer duket si një rresht, por sillet si migrim. Ajo që lëviz në të vërtetë është një grup objektesh: lista e peer-ëve kandidatë në crypto map, profili ose hartëzimi i autentikimit që identifikon skajin e largët,underlay-i që e arrin, dhe shoqatat aktive të ndërtuara mbi vlerat e vjetra. Trajtojeni ndryshimin e konfigurimit si hapin e fundit të këtij grupi, jo të parin.
1. Regjistroni gjendjen aktuale përpara se të prekni gjë
Filloni me listën e plotë të kandidatëve për zërin përkatës crypto-map, me radhë, jo vetëm me adresën që mendoni se është në përdorim. Rendi ka rëndësi sepse është ajo që pajisja provon në të vërtetë.
Regjistrojeni meshow run crypto mapdhe lexoni zërin efektiv meshow crypto map, pastaj ruani të dyja daljet pranë vlerës së re të planifikuar. Shënoni edhe cilin peer zgjodhi çdo shoqatë ekzistuese, ndërsa jeni atje.
Bëni të njëjtën gjë për shtresën e sesioneve, meshow vpn-sessiondb l2ldheshow crypto ipsec sa peer <old-address>. Këto dy dalje janë fotografia juaj përpara kur dikush pyet pse një tunel ra në 02:10.
2. Vërtetoni se peer-i i ri është i arritshëm nën të njëjtën politikë
Vërtetoni arritshmërinë përpara se të planifikoni kalimin. Ekzekutimi ipacket-tracernga ndërfaqja e brendshme drejt rrjetit të mbrojtur të peer-it të ri tregon nëse routing, përjashtimi NAT dhe politika e aksesit përputhen. Pastaj konfirmoni rrugën e transportit, sepse IKE dhe IPsec kanë nevojë për UDP 500 dhe 4500 për të kaluar çdo filtër mes gateway-ve. Një ping i suksesshëm nuk vërteton asgjë nga kjo vetëm.
Nëse underlay-i ka nevojë për një rrugë ose një ndryshim përkthimi, ai është një ndryshim i dytë me rrezikun e vet. Bashkojeni në të njëjtën dritare ose planifikojeni veçmas, por vendosni cilën, në vend që ta zbuloni në mes të kalimit.
3. Zhvendosni hartëzimin e profilit, jo vetëm adresën
Zgjedhja e peer-it dhe zgjedhja e profilit janë dy kërkime të ndryshme. Një profil lidhjeje LAN-to-LAN mban atribute të përgjithshme dhe mund të përputhet me një adresë, një identitet certifikate ose një emër grupi. Ndryshimi i IP-së nuk ndryshon cili profil përputhet kur profili bazohet në subjektin e certifikatës.
| Objekt | Mbi çfarë është kyçur | Çfarë prek një adresë e re peer |
|---|---|---|
| Lista e kandidatëve crypto map | Zërat e peer-ëve të konfiguruar dhe rendi i tyre | Ku ASA dërgon paketat e tij të para |
| Profil lidhjeje | Adresë, identitet certifikate ose grup | Vetëm profilet e kyçura mbi adresën |
| Prefikset e mbrojtura | Objekte rrjeti lokalë dhe të largët | Asgjë, përveç nëse i ndryshoni edhe ju |
Mbajeni kontratën e kredencialeve të paprekur. Ndryshimi i adresës nuk është arsye për të lehtësuar kontrollet e identitetit dhe as për të ngjitur një pre-shared key shembull në një tiketë.
4. Vëzhgoni sesionet aktive ndërsa ekzistojnë të dy kandidatët
Ndërsa të dyja adresat qëndrojnë në listën e kandidatëve, vendosni me shkrim nëse e vjetra është rezervë apo mbetje. Një konfigurim që përmban të dyja është i vlefshëm dhe nuk vërteton asgjë se cili peer mbajti sesionin e fundit.
Pastrojini shoqatat e sigurisë të vjetruara vetëm me formën e kufizuar në peer për versionin tuaj,clear crypto ipsec sa peer <address>, dhe prisni që tunelët e prekur të rinegociojnë. Një reset global rrëzon çdo sesion në pajisje dhe nuk do të falet gjatë orarit të punës.
Pastaj kaloni një fluks real aplikacioni nga një host i mbrojtur dhe konfirmoni që përgjigjja kthehet përmes pikës fundore të synuar.show vpn-sessiondb l2lduhet të emërtojë peer-in e ri për atë sesion, dhe numëruesit e bajteve duhet të lëvizin.
5. Mbylleni ose kthejeni mbrapsht
Shkruani kthimin mbrapsht përpara ndryshimit: lista e vjetër e kandidatëve, hartëzimi i vjetër i profilit dhe zëri i vjetër i underlay-it. Mbani një rrugë të pavarur administrimi drejt ASA-së, sepse një ndryshim adrese peer që ju kushton edhe aksesin është një mbrëmje e gjatë. Hiqni peer-in e vjetruar dhe kredencialet vetëm pas pranimit dhe pasi vendimi për rezervë të regjistrohet. Konfirmoni gjithashtu që politika e aksesit në rrjetet e mbrojtura nuk ka rrëshqitur.
Migrimi përfundon kur peer-i i synuar autentikohet dhe mbart shërbimin e kërkuar nën politikën e ruajtur. Një adresë e re në konfigurimin në punë është provë e shkrimit, jo e suksesit.