IOS-till-ASA-VPN-migrering: översätt överenskommelsen, inte CLI
En crypto map är inte en ASA tunnel-group. Vilka delar av överenskommelsen som förs över, vilka som måste byggas om och kontrollerna som visar att tjänsten fungerar.
En IOS-konfiguration som kommer som referens för en ASA-migrering beskriver en överenskommelse inlindad i en plattforms syntax. Motpartens adresser, identiteter och skyddade intervall är överenskommelsen. Nyckelringen, profilen och crypto map-kedjan är hur IOS uttrycker den, medan ASA uttrycker samma avsikt genom tunnel-grupper och deras attribut. Att kopiera den andra delen fungerar aldrig, och att bara kopiera den första lämnar jobbet halvgjort.
Gå igenom de fem stegen nedan i ordning och stanna där de två plattformarna beskriver olika saker snarare än olika ord.
Steg 1: skilj överenskommelsen från syntaxen
Skriv överlämningen som krav som båda administratörerna enas om. Fyra rader täcker nästan allt: var motparten finns och vilken sida som initierar, hur varje sida bevisar sin identitet, vilket skydd som är godtagbart och vilka applikationer som måste överleva tunneln. Ingen av dessa rader nämner ett kommando.
Behåll originaltexten som bevis i stället för instruktioner. En rad som finns på en plattform men inte på den andra är en syntaxskillnad tills du har kontrollerat om samma krav kan uppfyllas på annat sätt.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Steg 2: namnge objekten på varje plattform
På IOS XE matar en IKEv2-nyckelring en IKEv2-profil, och den profilen kopplas via en crypto map eller en IPsec-profil. På ASA håller en tunnel-grupp anslutningsprofilen och dess IPsec-attribut, och crypto map pekar på den, som guiden för anslutningsprofiler beskriver. Det är olika objektgrafer med olika arv, vilket är varför en rad-för-rad-mappning ger en konfiguration som tolkas och inte ansluter.
Bygg målobjekten från kravraderna i stället för från källraderna. Om raderna är fullständiga är målkonfigurationen ett designbeslut. Om de inte är det kommer ingen mängd kommandoöversättning att leverera den saknade avsikten.
Steg 3: för över identiteten, inte bara adresserna
Identiteten är den del som går sönder tyst. En motpart som autentiserar med adress beter sig annorlunda än en som autentiserar med certifikatsubjekt eller FQDN, och de två plattformarna registrerar den förväntan på olika ställen. Bevara den avsedda identiteten och förtroendekedjan i stället för att byta ut en delad hemlighet för att den är lättare att testa.
Håll den delade hemligheten borta från jämförelsenoteringar och ärenden. Anteckna vem som äger den och hur den flyttas genom en godkänd kanal, och kom ihåg att en platshållare från ett dokumentationsexempel inte är kundens autentiseringsuppgift.
Steg 4: kom överens om skyddet före bytet
För inte över gamla kryptografiska inställningar bara för att de finns i den medföljande texten. Kom överens om ett snitt av sviter som båda utplacerade motparterna stöder i dag och bekräfta det med den andra administratören före ändringsperioden. Om snittet skiljer sig från vad den befintliga motparten förväntar sig är det en samordnad ändring, inte en lokal redigering.
Skriv ned den överenskomna uppsättningen. Två administratörer med olika minnen av ett telefonsamtal är hur ett byte ger en fas-två-mismatch.
Steg 5: verifiera tjänsten, inte syntaxen
Kontrollera först målets effektiva objekt, sedan den accepterade associationen, sedan ett verkligt applikationsflöde och dess svar. Att ange ett kommando utan fel bevisar syntax och inget annat. En tunnel som kommer upp och inte bär trafik betyder oftast att skyddade intervall eller returvägen inte stämmer med andra sidan, vilket är ett kravradsproblem snarare än ett kommandoproblem. Jämför de skyddade intervallen på båda sidor innan du rör crypto map igen.
Anteckna vad du verifierade, med vilka adresser, från vilken sida. Den anteckningen förvandlar ett otydligt påstående att VPN:en är uppe till något som den andra administratören kan kontrollera självständigt.
Vad som ska lämnas tillbaka
Skicka kravmatrisen, en sammanfattning av målkonfigurationen och verifieringsresultaten. Ange uttryckligen vilka källinställningar du inte förde över och varför. Den listan är mer användbar än den översatta konfigurationen, eftersom det är där nästa oenighet kommer att börja.
Behåll även källtexten med ärendet. Den dokumenterar vad som efterfrågades, medan matrisen dokumenterar vad som överenskommits.