Migrimi i VPN nga IOS në ASA: përkthe marrëveshjen, jo CLI
Një crypto map nuk është tunnel-group i ASA. Cilat pjesë të marrëveshjes transferohen, cilat duhet të rindërtohen dhe kontrollet që vërtetojnë se shërbimi funksionon.
Një konfigurim IOS që vjen si referencë për një migrim në ASA përshkruan një marrëveshje të mbështjellë në sintaksën e një platforme. Adresat e palës tjetër, identitetet dhe intervalet e mbrojtura janë marrëveshja. Unaza e çelësave, profili dhe zinxhiri i crypto map janë mënyra si e shpreh IOS, ndërsa ASA shpreh të njëjtin qëllim përmes tunnel group-eve dhe atributeve të tyre. Kopjimi i pjesës së dytë nuk funksionon kurrë, dhe kopjimi vetëm i pjesës së parë e lë punën gjysmë të kryer.
Kaloni nëpër pesë hapat më poshtë me radhë dhe ndaloni kudo ku dy platformat përshkruajnë gjëra të ndryshme, jo fjalë të ndryshme.
Hapi 1: ndaj marrëveshjen nga sintaksa
Shkruaje dorëzimin si kërkesa për të cilat bien dakord të dy administratorët. Katër rreshta mbulojnë pothuajse gjithçka: ku është pala tjetër dhe cila palë fillon, si vërteton secila palë identitetin, çfarë mbrojtjeje është e pranueshme dhe cilat aplikacione duhet t'i mbijetojnë tunelit. Asnjë prej atyre rreshtave nuk përmend një komandë.
Mbajeni tekstin origjinal si provë, jo si udhëzime. Një rresht që ekziston në një platformë dhe jo në tjetrën është dallim sintakse, derisa të keni kontrolluar nëse e njëjta kërkesë mund të plotësohet në një mënyrë tjetër.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Hapi 2: emërto objektet në secilën platformë
Në IOS XE një unazë çelësash IKEv2 ushqen një profil IKEv2, dhe ai profil lidhet përmes një crypto map ose një profili IPsec. Në ASA një tunnel group mban profilin e lidhjes dhe atributet e tij IPsec, dhe crypto map tregon drejt tij, siç e përshkruan udhëzuesi i profilit të lidhjes. Këto janë grafikë objektesh të ndryshme me trashëgimi të ndryshme, prandaj një hartëzim rresht pas rreshti jep një konfigurim që analizohet dhe nuk lidhet.
Ndërtoni objektet e synuara nga rreshtat e kërkesave, jo nga rreshtat e burimit. Nëse rreshtat janë të plotë, konfigurimi i synuar është një vendim projektimi. Nëse nuk janë, asnjë sasi përkthimi komandash nuk do të furnizojë qëllimin që mungon.
Hapi 3: mbaj identitetin, jo vetëm adresat
Identiteti është pjesa që prishet në heshtje. Një palë që vërtetohet me adresë sillet ndryshe nga një që vërtetohet me subjekt certifikate ose FQDN, dhe dy platformat e regjistrojnë atë pritshmëri në vende të ndryshme. Ruani identitetin e synuar dhe zinxhirin e besimit, në vend që të zëvendësoni një sekret të përbashkët sepse është më i lehtë për t'u testuar.
Mbajeni sekretin e përbashkët jashtë shënimeve të krahasimit dhe biletave. Regjistroni kush e zotëron dhe si kalon nëpër një kanal të miratuar, dhe mbani mend se një vendmbajtës nga një shembull dokumentacioni nuk është kredenciali i klientit.
Hapi 4: bien dakord për mbrojtjen para kalimit
Mos i çoni cilësimet e vjetra kriptografike përpara sepse shfaqen në tekstin e furnizuar. Bini dakord për një prerje suitesh që të dy palët e vendosura aktualisht mbështesin, dhe konfirmojeni me administratorin tjetër para dritares së ndryshimit. Nëse ajo prerje ndryshon nga ajo që pret pala ekzistuese, është një ndryshim i koordinuar, jo një redaktim lokal.
Shkruajeni grupin e rënë dakord. Dy administratorë me kujtime të ndryshme të një telefonate janë arsyeja pse një kalim prodhon një mospërputhje në fazën e dytë.
Hapi 5: verifiko shërbimin, jo sintaksën
Kontrolloni së pari objektet efektive të synuara, pastaj shoqërimin e pranuar, pastaj një rrjedhë reale aplikacioni dhe përgjigjen e saj. Futja e një komande pa gabim provon sintaksën dhe asgjë tjetër. Një tunel që ngrihet dhe nuk mbart trafik zakonisht do të thotë që intervalet e mbrojtura ose rruga e kthimit nuk përputhen me palën tjetër, që është problem i rreshtave të kërkesave, jo i komandave. Krahasoni intervalet e mbrojtura në të dyja anët përpara se të prekni përsëri crypto map.
Regjistroni çfarë verifikuat, me cilat adresa, nga cila anë. Ai regjistrim e kthen një pohim të paqartë se VPN-i është lart në diçka që administratori tjetër mund ta kontrollojë në mënyrë të pavarur.
Çfarë duhet të kthehet
Dërgoni matricën e kërkesave, një përmbledhje të konfigurimit të synuar dhe rezultatet e verifikimit. Deklaroni shprehimisht cilat cilësime burimore nuk i çuat përpara dhe pse. Ai listë është më e dobishme se konfigurimi i përkthyer, sepse aty do të fillojë mosmarrëveshja e radhës.
Mbajeni tekstin burimor bashkë me biletën gjithashtu. Ai dokumenton çfarë u kërkua, ndërsa matrica dokumenton çfarë u ra dakord.