சுரங்கப்பாதையை உடைக்காமல் ASA இல் IPsec பீர் முகவரியை மாற்றுதல்

பீர் முகவரி மாற்றம் ஒரு வரி வேலைபோல் தெரிகிறது, ஆனால் இடம்பெயர்வுபோல் நடந்துகொள்கிறது. உண்மையில் நகர்வது ஒரு பொருள் தொகுப்பு: crypto map இல் உள்ள வேட்பாளர் பீர் பட்டியல், தொலை முனையை அடையாளம் காணும் சுயவிவரம் அல்லது அங்கீகார வரைபடம்,அதை அடையும் அடிப்படை அடுக்கு, மற்றும் பழைய மதிப்புகளில் கட்டப்பட்ட செயலில் உள்ள இணைப்புகள். உள்ளமைவுத் திருத்தத்தை இந்தத் தொகுப்பின் முதல் படியாக அல்ல, கடைசிப் படியாகக் கருதுங்கள்.

1. எதையும் தொடுவதற்கு முன் தற்போதைய நிலையைப் பதிவு செய்யுங்கள்

தொடர்புடைய crypto-map உள்ளீட்டின் முழு வேட்பாளர் பட்டியலிலிருந்து தொடங்குங்கள், வரிசையாக, பயன்பாட்டில் இருப்பதாக நீங்கள் நினைக்கும் முகவரியில் மட்டுமல்ல. வரிசை முக்கியம், ஏனெனில் சாதனம் உண்மையில் முயற்சிப்பது அதுவே.

அதைshow run crypto mapமூலம் பதிவு செய்து, செயலுள்ள உள்ளீட்டைshow crypto mapமூலம் படித்து, பின்னர் இரண்டு வெளியீடுகளையும் திட்டமிட்ட புதிய மதிப்பின் அருகில் சேமியுங்கள். அங்கு இருக்கும்போது ஒவ்வொரு இருக்கும் இணைப்பும் எந்தப் பீரைத் தேர்ந்தெடுத்தது என்பதையும் குறித்துக்கொள்ளுங்கள்.

அமர்வு அடுக்குக்கும் இதையே செய்யுங்கள்,show vpn-sessiondb l2lமற்றும்show crypto ipsec sa peer <old-address>பயன்படுத்தி. அந்த இரண்டு வெளியீடுகளும் 02:10 மணிக்கு சுரங்கப்பாதை ஏன் விழுந்தது என்று யாராவது கேட்கும்போது உங்கள் முன் படம்.

2. புதிய பீர் அதே கொள்கையின் கீழ் அணுகக்கூடியது என்பதை நிரூபியுங்கள்

மாற்றத்தைத் திட்டமிடும் முன் அணுகத்தன்மையை நிரூபியுங்கள். உள் இடைமுகத்திலிருந்து புதிய பீரின் பாதுகாக்கப்பட்ட வலையமைப்பை நோக்கிpacket-tracerஇயக்கினால் வழித்தடம், NAT விலக்கு மற்றும் அணுகல் கொள்கை ஒத்துப்போகிறதா என்பது தெரியும். பின்னர் போக்குவரத்து பாதையை உறுதிப்படுத்துங்கள், ஏனெனில் நுழைவாயில்களுக்கு இடையில் எந்த வடிகட்டியையும் கடக்க IKE மற்றும் IPsec க்கு UDP 500 மற்றும் 4500 தேவை. வெற்றிகரமான ping அதில் எதையும் தானாக நிரூபிக்காது.

அடிப்படை அடுக்குக்கு வழித்தடம் அல்லது மொழிபெயர்ப்பு மாற்றம் தேவைப்பட்டால், அது அதன் சொந்த ஆபத்துள்ள இரண்டாவது மாற்றம். அதை அதே சாளரத்தில் சேர்க்கவும் அல்லது தனியாகத் திட்டமிடவும், ஆனால் மாற்றத்தின் நடுவில் கண்டுபிடிப்பதற்குப் பதிலாக எது என்பதை முன்பே முடிவு செய்யுங்கள்.

3. முகவரி மட்டுமல்ல, சுயவிவர வரைபடத்தையும் நகர்த்துங்கள்

பீர் தேர்வும் சுயவிவரத் தேர்வும் இரண்டு வேறுபட்ட தேடல்கள். LAN-to-LAN இணைப்பு சுயவிவரம் பொதுப் பண்புகளைக் கொண்டு முகவரி, சான்றிதழ் அடையாளம் அல்லது குழுப் பெயரில் பொருந்தலாம். சுயவிவரம் சான்றிதழின் பொருளை அடிப்படையாகக் கொண்டால் IP ஐ மாற்றுவது எந்த சுயவிவரம் பொருந்துகிறது என்பதை மாற்றாது.

சான்றுகள் ஒப்பந்தத்தை அப்படியே வைத்திருங்கள். முகவரி மாற்றம் அடையாளச் சோதனைகளைத் தளர்த்துவதற்கான காரணமல்ல, மாதிரி pre-shared key ஐ டிக்கெட்டில் ஒட்டுவதற்கான காரணமும் அல்ல.

4. இரண்டு வேட்பாளர்களும் இருக்கும்போது செயலில் உள்ள அமர்வுகளைக் கவனியுங்கள்

இரண்டு முகவரிகளும் வேட்பாளர் பட்டியலில் இருக்கும்போது, பழையது காப்பு அல்லது எச்சம் என்பதை எழுத்துப்பூர்வமாக முடிவு செய்யுங்கள். இரண்டையும் கொண்ட உள்ளமைவு செல்லுபடியாகும், கடைசி அமர்வை எந்தப் பீர் சுமந்தது என்பதை அது எதையும் நிரூபிக்காது.

பழைய பாதுகாப்பு இணைப்புகளை உங்கள் வெளியீட்டுக்கான பீர்-வரம்புடைய வடிவத்தில் மட்டுமே அழிக்கவும்,clear crypto ipsec sa peer <address>, மேலும் பாதிக்கப்பட்ட சுரங்கப்பாதைகள் மீண்டும் பேச்சுவார்த்தை நடத்தும் என எதிர்பாருங்கள். உலகளாவிய மீட்டமைப்பு சாதனத்தின் ஒவ்வொரு அமர்வையும் வீழ்த்தும், வேலை நேரத்தில் அது மன்னிக்கப்படாது.

பின்னர் பாதுகாக்கப்பட்ட ஹோஸ்ட்டிலிருந்து ஒரு உண்மையான பயன்பாட்டு ஓட்டத்தை அனுப்பி, பதில் நோக்கமிட்ட முனையத்தின் வழியாகத் திரும்புவதை உறுதிப்படுத்துங்கள்.show vpn-sessiondb l2lஅந்த அமர்வுக்கு புதிய பீரைப் பெயரிட வேண்டும், பைட் கவுண்டர்கள் நகர வேண்டும்.

5. முடிக்கவும் அல்லது பின்னோக்கிச் செல்லவும்

மாற்றத்திற்கு முன் பின்னோக்கிச் செல்லலை எழுதுங்கள்: பழைய வேட்பாளர் பட்டியல், பழைய சுயவிவர வரைபடம் மற்றும் பழைய அடிப்படை அடுக்கு உள்ளீடு. ASA க்கு சுயாதீன நிர்வாகப் பாதையை வைத்திருங்கள், ஏனெனில் அணுகலையும் பறிக்கும் பீர் முகவரித் திருத்தம் ஒரு நீண்ட மாலை. பழைய பீரையும் சான்றுகளையும் ஏற்றுக்கொண்ட பிறகும் காப்பு முடிவு பதிவான பிறகும் மட்டுமே அகற்றுங்கள். பாதுகாக்கப்பட்ட வலையமைப்புகளின் அணுகல் கொள்கை நகர்ந்துவிடவில்லை என்பதையும் உறுதிப்படுத்துங்கள்.

நோக்கமிட்ட பீர் அங்கீகாரம் பெற்று பாதுகாக்கப்பட்ட கொள்கையின் கீழ் தேவையான சேவையைச் சுமந்தால் இடம்பெயர்வு முடிந்தது. இயங்கும் உள்ளமைவில் புதிய முகவரி இருப்பது தட்டச்சின் சான்று, வெற்றியின் அல்ல.