เปลี่ยนที่อยู่ peer ของ IPsec บน ASA โดยไม่ทำให้ทันเนลขาด

การเปลี่ยนที่อยู่ peer ดูเหมือนงานบรรทัดเดียว แต่มีพฤติกรรมเหมือนการย้ายระบบ สิ่งที่เคลื่อนจริงคือชุดของออบเจ็กต์: รายการ peer ผู้สมัครบน crypto map โปรไฟล์หรือการแมปการพิสูจน์ตัวตนที่ระบุปลายทางไกลunderlay ที่ไปถึงปลายทางนั้นและความสัมพันธ์ที่ใช้งานอยู่ซึ่งสร้างจากค่าเดิม มองการแก้ไขคอนฟิกเป็นขั้นสุดท้ายของชุดนี้ ไม่ใช่ขั้นแรก

1. บันทึกสถานะปัจจุบันก่อนแตะต้องสิ่งใด

เริ่มจากรายการผู้สมัครทั้งหมดของรายการ crypto-map ที่เกี่ยวข้อง ตามลำดับ ไม่ใช่แค่ที่อยู่ที่คุณคิดว่าใช้งานอยู่ ลำดับสำคัญเพราะเป็นสิ่งที่อุปกรณ์พยายามจริง

บันทึกด้วยshow run crypto mapและอ่านรายการที่มีผลด้วยshow crypto mapจากนั้นเก็บผลลัพธ์ทั้งสองไว้ข้างค่าใหม่ที่วางแผนไว้ ระหว่างนั้นให้จดว่าแต่ละความสัมพันธ์ที่มีอยู่เลือก peer ใด

ทำเช่นเดียวกันกับชั้นเซสชัน โดยใช้show vpn-sessiondb l2lและshow crypto ipsec sa peer <old-address>ผลลัพธ์สองอย่างนั้นคือภาพก่อนการเปลี่ยนแปลงเมื่อมีคนถามว่าทำไมทันเนลล่มเมื่อ 02:10

2. พิสูจน์ว่า peer ใหม่เข้าถึงได้ภายใต้นโยบายเดิม

พิสูจน์การเข้าถึงก่อนกำหนดเวลาสลับ การรันpacket-tracerจากอินเทอร์เฟซภายในไปยังเครือข่ายที่ป้องกันของ peer ใหม่แสดงว่าเราเตอร์ติ้ง การยกเว้น NAT และนโยบายการเข้าถึงสอดคล้องกันหรือไม่ จากนั้นยืนยันเส้นทางขนส่ง เพราะ IKE และ IPsec ต้องใช้ UDP 500 และ 4500 เพื่อผ่านตัวกรองใด ๆ ระหว่างเกตเวย์ ping ที่สำเร็จไม่ได้พิสูจน์สิ่งใดจากทั้งหมดนั้นด้วยตัวเอง

หาก underlay ต้องใช้เส้นทางหรือเปลี่ยนการแปลที่อยู่ นั่นคือการเปลี่ยนแปลงที่สองซึ่งมีความเสี่ยงของตัวเอง รวมไว้ในหน้าต่างเดียวกันหรือกำหนดแยก แต่ตัดสินใจว่าจะเอาอย่างไร แทนที่จะไปค้นพบกลางการสลับ

3. ย้ายการแมปโปรไฟล์ ไม่ใช่แค่ที่อยู่

การเลือก peer และการเลือกโปรไฟล์เป็นการค้นหาสองแบบที่ต่างกัน โปรไฟล์การเชื่อมต่อ LAN-to-LAN เก็บแอตทริบิวต์ทั่วไปและอาจจับคู่กับที่อยู่ ตัวตนใบรับรอง หรือชื่อกลุ่ม การเปลี่ยน IP ไม่เปลี่ยนว่าโปรไฟล์ใดจับคู่เมื่อโปรไฟล์อ้างอิงหัวข้อของใบรับรอง

รักษาสัญญาของข้อมูลรับรองไว้เหมือนเดิม การเปลี่ยนที่อยู่ไม่ใช่เหตุผลให้ผ่อนการตรวจสอบตัวตน และไม่ใช่เหตุผลให้วาง pre-shared key ตัวอย่างลงในตั๋ว

4. เฝ้าดูเซสชันที่ใช้งานอยู่ขณะที่ผู้สมัครทั้งสองยังมีอยู่

ขณะที่ที่อยู่ทั้งสองอยู่ในรายการผู้สมัคร ให้ตัดสินเป็นลายลักษณ์อักษรว่าตัวเก่าเป็นตัวสำรองหรือเศษตกค้าง คอนฟิกที่มีทั้งสองอย่างนั้นใช้ได้ และไม่ได้พิสูจน์ว่า peer ใดแบกเซสชันสุดท้าย

ล้างความสัมพันธ์ความปลอดภัยที่ค้างเก่าเฉพาะด้วยรูปแบบที่จำกัดเฉพาะ peer สำหรับรีลีสของคุณclear crypto ipsec sa peer <address>และคาดว่าทันเนลที่ได้รับผลกระทบจะเจรจาใหม่ การรีเซ็ตทั้งหมดทำให้ทุกเซสชันบนอุปกรณ์ล่มและจะไม่ได้รับการอภัยในเวลางาน

จากนั้นปล่อยโฟลว์แอปพลิเคชันจริงหนึ่งรายการจากโฮสต์ที่ป้องกัน และยืนยันว่าคำตอบกลับมาผ่านปลายทางที่ตั้งใจshow vpn-sessiondb l2lควรระบุชื่อ peer ใหม่สำหรับเซสชันนั้น และตัวนับไบต์ควรขยับ

5. ปิดงานหรือย้อนกลับ

เขียนการย้อนกลับก่อนการเปลี่ยนแปลง: รายการผู้สมัครเดิม การแมปโปรไฟล์เดิม และรายการ underlay เดิม รักษาเส้นทางจัดการที่เป็นอิสระไปยัง ASA เพราะการแก้ไขที่อยู่ peer ที่ทำให้คุณเสียการเข้าถึงด้วยคือค่ำคืนที่ยาวนาน ลบ peer ที่ค้างและข้อมูลรับรองหลังจากได้รับการยอมรับและหลังบันทึกการตัดสินใจเรื่องตัวสำรองแล้วเท่านั้น ยืนยันด้วยว่านโยบายการเข้าถึงบนเครือข่ายที่ป้องกันไม่เคลื่อนไป

การย้ายเสร็จเมื่อ peer ที่ตั้งใจพิสูจน์ตัวตนผ่านและแบกบริการที่ต้องการภายใต้นโยบายที่รักษาไว้ ที่อยู่ในคอนฟิกที่กำลังทำงานเป็นหลักฐานของการพิมพ์ ไม่ใช่ของความสำเร็จ