Промена адресе IPsec партнера на ASA без прекида тунела
Премештање адресе партнера дотиче листу кандидата, подударање профила, основни слој и активне сесије. Прођите кроз контролну листу по реду.
Промена адресе партнера изгледа као један ред, али се понаша као миграција. Оно што се заиста помера је скуп објеката: листа кандидата партнера на crypto map, профил или мапирање аутентикације које идентификује далеки крај,основни слој који га достиже, и активне асоцијације изграђене на старим вредностима. Уређивање конфигурације третирајте као последњи корак тог скупа, а не први.
1. Забележите тренутно стање пре него што било шта дотакнете
Почните од целе листе кандидата за одговарајући crypto-map унос, по реду, не само од адресе за коју мислите да је у употреби. Редослед је важан јер је то оно што уређај заиста покушава.
Забележите га помоћуshow run crypto mapи прочитајте ефективни унос помоћуshow crypto map, затим сачувајте оба излаза поред планиране нове вредности. Тамо забележите и који је партнер изабран у свакој постојећој асоцијацији.
Исто учините за слој сесија, помоћуshow vpn-sessiondb l2lиshow crypto ipsec sa peer <old-address>. Та два излаза су ваша слика пре промене када неко пита зашто је тунел пао у 02:10.
2. Докажите да је нови партнер доступан под истом политиком
Докажите доступност пре него што закажете прекид. Покретањеpacket-tracerса унутрашњег интерфејса ка заштићеној мрежи новог партнера показује да ли се рутирање, NAT изузетак и политика приступа слажу. Затим потврдите транспортни пут, јер IKE и IPsec захтевају UDP 500 и 4500 да прођу било који филтер између гејтвеја. Успешан ping сам по себи ништа од тога не доказује.
Ако основном слоју треба рута или промена превода, то је друга промена са сопственим ризиком. Групишите је у исти прозор или је закажите одвојено, али одлучите која, уместо да то откријете усред прекида.
3. Преместите мапирање профила, не само адресу
Избор партнера и избор профила су два различита претраживања. Профил LAN-to-LAN везе држи опште атрибуте и може се подударати по адреси, идентитету сертификата или имену групе. Промена IP-а не мења који се профил подудара када се профил ослања на субјекат сертификата.
| Објекат | По чему је кључан | Шта нова адреса партнера дотиче |
|---|---|---|
| Листа кандидата crypto map | Конфигурисани уноси партнера и њихов ред | Камо ASA шаље своје прве пакете |
| Профил везе | Адреса, идентитет сертификата или група | Само профили кључани на адресу |
| Заштићени префикси | Локални и удаљени мрежни објекти | Ништа, осим ако их и ви не промените |
Сачувајте уговор о акредитивима нетакнут. Промена адресе није разлог да се попусте провере идентитета, нити разлог да залепите пример pre-shared key у тикет.
4. Посматрајте активне сесије док постоје оба кандидата
Док обе адресе стоје на листи кандидата, писмено одлучите да ли је стара резерва или остатак. Конфигурација која садржи обе је важећа и ништа не доказује о томе који је партнер носио последњу сесију.
Очистите застареле безбедносне асоцијације само обликом ограниченим на партнера за ваше издање,clear crypto ipsec sa peer <address>, и очекујте да ће погођени тунели поново преговарати. Глобални ресет обара сваку сесију на уређају и неће бити опроштен у радно време.
Затим пропустите један стварни апликацијски ток са заштићеног хоста и потврдите да се одговор враћа кроз предвиђену крајњу тачку.show vpn-sessiondb l2lтреба да наведе новог партнера за ту сесију, а бројачи бајтова треба да се померају.
5. Затворите или вратите
Напишите враћање пре промене: стара листа кандидата, старо мапирање профила и стари унос основног слоја. Одржавајте независну путању управљања до ASA, јер уређивање адресе партнера које вам одузима и приступ је дуга вече. Уклоните застарелог партнера и акредитиве тек после прихватања и после записивања одлуке о резерви. Потврдите и да политика приступа на заштићеним мрежама није одлутала.
Миграција је завршена када се предвиђени партнер аутентикује и носи тражену услугу под очуваном политиком. Нова адреса у радној конфигурацији је доказ куцања, не успеха.