การย้าย VPN จาก IOS ไป ASA: แปลข้อตกลง ไม่ใช่ CLI
crypto map ไม่ใช่ ASA tunnel-group ส่วนใดของข้อตกลงที่ถ่ายโอนได้ ส่วนใดต้องสร้างใหม่ และการตรวจสอบที่พิสูจน์ว่าบริการทำงาน
การกำหนดค่า IOS ที่ส่งมาเป็นข้อมูลอ้างอิงสำหรับการย้ายไป ASA อธิบายข้อตกลงที่ห่อหุ้มด้วยไวยากรณ์ของแพลตฟอร์มหนึ่ง ที่อยู่ของคู่ตรงข้าม อัตลักษณ์ และช่วงที่ได้รับการป้องกันคือข้อตกลง ส่วนวงแหวนคีย์ โปรไฟล์ และลูกโซ่ crypto map คือวิธีที่ IOS แสดงออก ขณะที่ ASA แสดงเจตนาเดียวกันผ่าน tunnel group และคุณลักษณะของมัน การคัดลอกส่วนที่สองไม่เคยได้ผล และการคัดลอกเฉพาะส่วนแรกทำให้งานค้างครึ่งหนึ่ง
ทำตามห้าขั้นตอนด้านล่างตามลำดับ และหยุดทุกจุดที่สองแพลตฟอร์มอธิบายสิ่งที่ต่างกัน ไม่ใช่คำที่ต่างกัน
ขั้นที่ 1: แยกข้อตกลงออกจากไวยากรณ์
เขียนการส่งมอบเป็นข้อกำหนดที่ผู้ดูแลทั้งสองฝ่ายเห็นตรงกัน สี่แถวครอบคลุมเกือบทั้งหมด: คู่ตรงข้ามอยู่ที่ใดและฝ่ายใดเริ่มต้น แต่ละฝ่ายพิสูจน์อัตลักษณ์อย่างไร การป้องกันแบบใดยอมรับได้ และแอปพลิเคชันใดต้องอยู่รอดผ่านอุโมงค์ ไม่มีแถวใดกล่าวถึงคำสั่ง
เก็บข้อความต้นฉบับไว้เป็นหลักฐาน ไม่ใช่เป็นคำแนะนำ บรรทัดที่มีอยู่บนแพลตฟอร์มหนึ่งแต่ไม่มีบนอีกแพลตฟอร์มหนึ่งเป็นความต่างทางไวยากรณ์ จนกว่าคุณจะตรวจสอบว่าข้อกำหนดเดียวกันตอบสนองได้ด้วยวิธีอื่นหรือไม่
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
ขั้นที่ 2: ตั้งชื่อวัตถุบนแต่ละแพลตฟอร์ม
บน IOS XE วงแหวนคีย์ IKEv2 ป้อนโปรไฟล์ IKEv2 และโปรไฟล์นั้นเชื่อมผ่าน crypto map หรือโปรไฟล์ IPsec บน ASA tunnel group เก็บโปรไฟล์การเชื่อมต่อและคุณลักษณะ IPsec และ crypto map ชี้ไปที่มัน ตามที่คู่มือโปรไฟล์การเชื่อมต่ออธิบาย สิ่งเหล่านี้คือกราฟวัตถุที่ต่างกันด้วยการสืบทอดที่ต่างกัน ซึ่งเป็นเหตุผลว่าทำไมการแมปทีละบรรทัดจึงให้การกำหนดค่าที่แยกวิเคราะห์ได้แต่เชื่อมต่อไม่ได้
สร้างวัตถุเป้าหมายจากแถวข้อกำหนด ไม่ใช่จากบรรทัดต้นฉบับ หากแถวครบถ้วน การกำหนดค่าเป้าหมายคือการตัดสินใจเชิงออกแบบ หากไม่ครบ การแปลคำสั่งจำนวนเท่าใดก็ไม่สามารถเติมเจตนาที่ขาดหายไปได้
ขั้นที่ 3: ถ่ายโอนอัตลักษณ์ ไม่ใช่แค่ที่อยู่
อัตลักษณ์คือส่วนที่พังอย่างเงียบ ๆ คู่ตรงข้ามที่พิสูจน์ตัวด้วยที่อยู่มีพฤติกรรมต่างจากที่พิสูจน์ตัวด้วยหัวข้อใบรับรองหรือ FQDN และสองแพลตฟอร์มบันทึกความคาดหวังนั้นไว้คนละที่ เก็บอัตลักษณ์ที่ตั้งใจและลูกโซ่ความเชื่อถือไว้ แทนที่จะแทนที่ด้วยความลับร่วมเพราะทดสอบง่ายกว่า
เก็บความลับร่วมออกจากบันทึกการเปรียบเทียบและตั๋ว บันทึกว่าใครเป็นเจ้าของและมันเคลื่อนผ่านช่องทางที่อนุมัติอย่างไร และจำไว้ว่าตัวยึดตำแหน่งจากตัวอย่างเอกสารไม่ใช่ข้อมูลรับรองของลูกค้า
ขั้นที่ 4: ตกลงการป้องกันก่อนการเปลี่ยนผ่าน
อย่าถ่ายโอนการตั้งค่าคริปโตเก่าเพียงเพราะมันปรากฏในข้อความที่ให้มา ตกลงชุดที่ตัดกันของชุดรหัสซึ่งคู่ตรงข้ามที่ติดตั้งทั้งสองฝ่ายรองรับในปัจจุบัน และยืนยันกับผู้ดูแลอีกฝ่ายก่อนหน้าต่างการเปลี่ยนแปลง หากจุดตัดนั้นต่างจากที่คู่ตรงข้ามที่มีอยู่คาดหวัง มันคือการเปลี่ยนแปลงที่ประสานกัน ไม่ใช่การแก้ไขเฉพาะที่
เขียนชุดที่ตกลงกันไว้ ผู้ดูแลสองคนที่มีความจำต่างกันเกี่ยวกับสายโทรศัพท์คือสาเหตุที่การเปลี่ยนผ่านสร้างความไม่ตรงกันในเฟสที่สอง
ขั้นที่ 5: ตรวจสอบบริการ ไม่ใช่ไวยากรณ์
ตรวจสอบวัตถุที่มีผลของเป้าหมายก่อน จากนั้นจึงตรวจสอบสมาคมที่ยอมรับ แล้วจึงตรวจสอบการไหลของแอปพลิเคชันจริงและการตอบกลับ การป้อนคำสั่งโดยไม่มีข้อผิดพลาดพิสูจน์เพียงไวยากรณ์เท่านั้น อุโมงค์ที่ขึ้นมาแต่ไม่รับส่งข้อมูลมักหมายความว่าช่วงที่ป้องกันหรือเส้นทางขากลับไม่ตรงกับอีกฝ่าย ซึ่งเป็นปัญหาแถวข้อกำหนดไม่ใช่ปัญหาคำสั่ง เปรียบเทียบช่วงที่ป้องกันทั้งสองฝ่ายก่อนแตะ crypto map อีกครั้ง
บันทึกสิ่งที่คุณตรวจสอบ ด้วยที่อยู่ใด จากฝ่ายใด บันทึกนั้นเปลี่ยนข้ออ้างที่คลุมเครือว่า VPN ทำงานอยู่ ให้เป็นสิ่งที่ผู้ดูแลอีกฝ่ายตรวจสอบได้อย่างอิสระ
สิ่งที่ต้องส่งคืน
ส่งเมทริกซ์ข้อกำหนด สรุปการกำหนดค่าเป้าหมาย และผลการตรวจสอบ ระบุอย่างชัดเจนว่าการตั้งค่าต้นฉบับใดที่คุณไม่ได้ถ่ายโอนและเพราะเหตุใด รายการนั้นมีประโยชน์กว่าการกำหนดค่าที่แปลแล้ว เพราะนั่นคือจุดที่ความขัดแย้งครั้งถัดไปจะเริ่มต้น
เก็บข้อความต้นฉบับไว้กับตั๋วด้วย มันบันทึกสิ่งที่ถูกขอ ขณะที่เมทริกซ์บันทึกสิ่งที่ตกลงกัน