Ändra en IPsec-peeradress på en ASA utan att bryta tunneln
Att flytta en peeradress påverkar kandidatlistan, profilmatchen, underlayet och aktiva sessioner. Gå igenom checklistan i ordning.
En ändring av en peeradress ser ut som en rad, men beter sig som en migrering. Det som faktiskt flyttas är en uppsättning objekt: kandidatlistan med peers på crypto map, profilen eller autentiseringsmappningen som identifierar fjärränden,underlayet som når den, och de aktiva associationerna som byggts på de gamla värdena. Behandla konfigurationsändringen som det sista steget i den uppsättningen, inte det första.
1. Registrera nuläget innan du rör något
Börja med hela kandidatlistan för den aktuella crypto-map-posten, i ordning, inte bara adressen du tror används. Ordningen spelar roll eftersom det är den enheten faktiskt provar.
Fånga den medshow run crypto mapoch läs den effektiva posten medshow crypto map, spara sedan båda utskrifterna bredvid det planerade nya värdet. Notera också vilken peer varje befintlig association valde, medan du är där.
Gör samma sak för sessionslagret, medshow vpn-sessiondb l2lochshow crypto ipsec sa peer <old-address>. De två utskrifterna är din förebild när någon frågar varför en tunnel föll klockan 02:10.
2. Bevisa att den nya peeren nås under samma policy
Bevisa nåbarheten innan du planerar bytet. En körning avpacket-tracerfrån det inre gränssnittet mot den nya peerens skyddade nätverk visar om routning, NAT-undantag och åtkomstpolicy stämmer. Bekräfta sedan transportvägen, eftersom IKE och IPsec behöver UDP 500 och 4500 för att passera något filter mellan gatewaysarna. En ping som lyckas bevisar inget av detta i sig.
Om underlayet behöver en route eller en översättningsändring är det en andra ändring med egen risk. Slå ihop den i samma fönster eller planera den separat, men bestäm vilken i stället för att upptäcka det mitt i bytet.
3. Flytta profilmappningen, inte bara adressen
Peerval och profilval är två olika uppslagningar. En LAN-to-LAN-anslutningsprofil håller allmänna attribut och kan matcha på en adress, en certifikatidentitet eller ett gruppnamn. Att ändra IP:t ändrar inte vilken profil som matchar när profilen bygger på ett certifikatsubjekt.
| Objekt | Vad den är nycklad på | Vad en ny peeradress rör |
|---|---|---|
| Kandidatlista för crypto map | Konfigurerade peer-poster och deras ordning | Vart ASA:n skickar sina första paket |
| Anslutningsprofil | Adress, certifikatidentitet eller grupp | Bara de profiler som är nycklade på adress |
| Skyddade prefix | Lokala och avlägsna nätverkobjekt | Ingenting, om du inte ändrar dem också |
Håll legitimationskontraktet intakt. En adressändring är inte skäl att lätta på identitetskontrollerna, och inte skäl att klistra in en exempel-pre-shared key i ett ärende.
4. Övervaka aktiva sessioner medan båda kandidaterna finns
Medan båda adresserna står i kandidatlistan, avgör skriftligt om den gamla är en reserv eller en rest. En konfiguration som innehåller båda är giltig, och den bevisar inget om vilken peer som bar den senaste sessionen.
Rensa inaktuella säkerhetsassociationer bara med den peer-begränsade formen för din version,clear crypto ipsec sa peer <address>, och räkna med att de berörda tunnlarna förhandlar om. En global återställning fäller varje session på enheten och förlåts inte under kontorstid.
Släpp sedan igenom ett verkligt applikationsflöde från en skyddad värd och bekräfta att svaret kommer tillbaka via den avsedda slutpunkten.show vpn-sessiondb l2lska namnge den nya peeren för den sessionen, och byträknarna ska röra sig.
5. Avsluta eller rulla tillbaka
Skriv återrullningen före ändringen: den gamla kandidatlistan, den gamla profilmappningen och den gamla underlay-posten. Håll en oberoende hanteringsväg till ASA:n, för en peeradressändring som också kostar dig åtkomsten är en lång kväll. Ta bort den inaktuella peeren och legitimationerna först efter acceptans och efter att reservbeslutet registrerats. Bekräfta också att åtkomstpolicyn på de skyddade näten inte har drivit.
Migreringen är klar när den avsedda peeren autentiserar sig och bär den tjänst som krävs under den bevarade policyn. En ny adress i den körande konfigurationen är bevis på skrivande, inte på framgång.