Kubadilisha anwani ya peer ya IPsec kwenye ASA bila kuvunja tunnel
Kuhamisha anwani ya peer kunagusa orodha ya watahiniwa, ulinganifu wa profile, underlay na vikao vinavyotumika. Fuata orodha ya ukaguzi kwa mpangilio.
Mabadiliko ya anwani ya peer yanaonekana kama mstari mmoja, lakini yanafanya kazi kama uhamishaji. Kinachohama hasa ni seti ya vitu: orodha ya watahiniwa wa peer kwenye crypto map, profile au uchoraji wa uthibitishaji unaotambua upande wa mbali,underlay inayoufikia, na miungano inayotumika iliyojengwa kutoka maadili ya zamani. Chukulia uhariri wa usanidi kama hatua ya mwisho ya seti hiyo, sio ya kwanza.
1. Rekodi hali ya sasa kabla ya kugusa kitu chochote
Anza na orodha kamili ya watahiniwa wa ingizo husika la crypto-map, kwa mpangilio, sio tu anwani unayodhani inatumika. Mpangilio ni muhimu kwa sababu ndio kifaa hujaribu hasa.
Inasa nashow run crypto mapna soma ingizo tendaji nashow crypto map, kisha hifadhi matokeo yote mawili kando ya thamani mpya iliyopangwa. Pia andika ni peer gani iliyochaguliwa na kila muungano uliopo, ukiwa hapo.
Fanya vivyo hivyo kwa tabaka la vikao, ukitumiashow vpn-sessiondb l2lnashow crypto ipsec sa peer <old-address>. Matokeo hayo mawili ni picha yako ya kabla wakati mtu anauliza kwa nini tunnel ilianguka saa 02:10.
2. Thibitisha kwamba peer mpya inafikika chini ya sera hiyo hiyo
Thibitisha ufikikaji kabla ya kupanga mpango wa kubadilisha. Kuendeshapacket-tracerkutoka kiolesura cha ndani kuelekea mtandao uliolindwa wa peer mpya kunaonyesha kama uelekezaji, msamaha wa NAT na sera ya ufikiaji zinapatana. Kisha thibitisha njia ya usafirishaji, kwa sababu IKE na IPsec zinahitaji UDP 500 na 4500 kupita kichujio chochote kati ya lango. Ping inayofanikiwa haithibitishi chochote kati ya hivyo peke yake.
Ikiwa underlay inahitaji njia au mabadiliko ya tafsiri, hilo ni badiliko la pili lenye hatari yake. Liunganishe kwenye dirisha moja au lipange kando, lakini amua lipi, badala ya kuligundua katikati ya kubadilisha.
3. Hamisha uchoraji wa profile, sio anwani tu
Uchaguzi wa peer na uchaguzi wa profile ni tafuta mbili tofauti. Profile ya muunganisho wa LAN-to-LAN ina sifa za jumla na inaweza kupatana kwa anwani, utambulisho wa cheti au jina la kikundi. Kubadilisha IP hakubadilishi profile ipi inapatana wakati profile inategemea somo la cheti.
| Kitu | Kinachowekwa ufunguo | Anwani mpya ya peer inagusa nini |
|---|---|---|
| Orodha ya watahiniwa wa crypto map | Ingizo za peer zilizosanidiwa na mpangilio wake | Mahali ASA inatuma pakiti zake za kwanza |
| Profile ya muunganisho | Anwani, utambulisho wa cheti au kikundi | Ni profile zilizowekwa ufunguo kwa anwani tu |
| Viambishi vilivyolindwa | Vitu vya mtandao vya ndani na vya mbali | Hakuna, isipokuwa nawe ukibadilisha |
Weka mkataba wa vibali ukiwa sawa. Mabadiliko ya anwani sio sababu ya kulegeza ukaguzi wa utambulisho, wala sababu ya kubandika pre-shared key ya mfano kwenye tiketi.
4. Fuatilia vikao vinavyotumika wakati watahiniwa wote wawili wapo
Wakati anwani zote mbili ziko kwenye orodha ya watahiniwa, amua kwa maandishi kama ya zamani ni hifadhi au mabaki. Usanidi ulio na zote mbili ni halali, na hauthibitishi chochote kuhusu peer ipi iliyobeba kikao cha mwisho.
Safisha miungano ya usalama iliyopitwa na wakati tu kwa muundo uliowekwa kwa peer wa toleo lako,clear crypto ipsec sa peer <address>, na tarajia tunnel zilizoathirika zijadiliane upya. Reset ya jumla inaangusha kila kikao kwenye kifaa na haitasamehewa wakati wa kazi.
Kisha pitisha mtiririko mmoja halisi wa programu kutoka mwenyeji aliyelindwa na uthibitisha kwamba jibu linarejea kupitia ncha iliyokusudiwa.show vpn-sessiondb l2linapaswa kutaja peer mpya kwa kikao hicho, na vihesabu vya baiti vinapaswa kusonga.
5. Funga au rudi nyuma
Andika kurudi nyuma kabla ya mabadiliko: orodha ya zamani ya watahiniwa, uchoraji wa zamani wa profile na ingizo la zamani la underlay. Weka njia huru ya usimamizi kuelekea ASA, kwa sababu uhariri wa anwani ya peer ambao pia unakugharimu ufikiaji ni jioni ndefu. Ondoa peer iliyopitwa na wakati na vibali tu baada ya kukubaliwa na baada ya uamuzi wa hifadhi kurekodiwa. Thibitisha pia kwamba sera ya ufikiaji kwenye mitandao iliyolindwa haijateleza.
Uhamishaji umekamilika wakati peer iliyokusudiwa inajithibitisha na inabeba huduma inayohitajika chini ya sera iliyohifadhiwa. Anwani mpya katika usanidi unaoendesha ni ushahidi wa kuandika, sio wa mafanikio.