Palitan ang IPsec peer address sa isang ASA nang hindi masisira ang tunnel
Ang paglipat ng peer address ay tumatama sa listahan ng kandidato, pagtutugma ng profile, underlay at mga aktibong session. Sundin ang checklist nang sunod-sunod.
Ang pagbabago ng peer address ay mukhang isang linya, pero kumikilos na parang migrasyon. Ang talagang gumagalaw ay isang set ng mga bagay: ang listahan ng kandidatong peer sa crypto map, ang profile o authentication mapping na kumikilala sa malayong dulo,ang underlay na umaabot doon, at ang mga aktibong asosasyon na itinayo mula sa lumang mga halaga. Ituring ang edit ng configuration bilang huling hakbang ng set na iyon, hindi ang una.
1. Itala ang kasalukuyang estado bago hawakan ang kahit ano
Magsimula sa buong listahan ng kandidato para sa kaugnay na crypto-map entry, nang sunod-sunod, hindi lang sa address na akala mo ay ginagamit. Mahalaga ang pagkakasunod-sunod dahil iyon ang aktwal na sinusubukan ng device.
Itala ito gamit angshow run crypto mapat basahin ang epektibong entry gamit angshow crypto map, pagkatapos i-save ang parehong output sa tabi ng planong bagong halaga. Itala rin kung aling peer ang pinili ng bawat umiiral na asosasyon, habang nandoon ka.
Gawin din ito para sa session layer, gamit angshow vpn-sessiondb l2latshow crypto ipsec sa peer <old-address>. Ang dalawang output na iyon ay ang larawan mo bago ang pagbabago kapag may nagtanong kung bakit bumagsak ang tunnel nang 02:10.
2. Patunayan na maabot ang bagong peer sa ilalim ng parehong patakaran
Patunayan ang maabot bago iiskedyul ang paglipat. Ang pagpapatakbo ngpacket-tracermula sa panloob na interface patungo sa protektadong network ng bagong peer ay nagpapakita kung tugma ang routing, NAT exemption at access policy. Pagkatapos ay kumpirmahin ang transport path, dahil kailangan ng IKE at IPsec ang UDP 500 at 4500 para makadaan sa anumang filter sa pagitan ng mga gateway. Ang matagumpay na ping ay walang pinapatunayan ni isa sa mga iyon nang mag-isa.
Kung kailangan ng underlay ng ruta o pagbabago sa pagsasalin, iyon ay pangalawang pagbabago na may sariling panganib. Isama ito sa parehong window o iiskedyul nang hiwalay, pero magpasya kung alin, sa halip na matuklasan ito sa gitna ng paglipat.
3. Ilipat ang pagmamapa ng profile, hindi lang ang address
Magkaibang paghahanap ang pagpili ng peer at pagpili ng profile. Ang LAN-to-LAN connection profile ay may pangkalahatang attribute at maaaring tumugma sa address, pagkakakilanlan ng certificate o pangalan ng grupo. Ang pagpapalit ng IP ay hindi nagbabago kung aling profile ang tumutugma kapag ang profile ay nakabatay sa subject ng certificate.
| Bagay | Ano ang kinakabitan ng key | Ano ang tinatamaan ng bagong peer address |
|---|---|---|
| Listahan ng kandidato ng crypto map | Mga naka-configure na peer entry at ang pagkakasunod-sunod | Saan nagpapadala ang ASA ng mga unang packet |
| Profile ng koneksyon | Address, pagkakakilanlan ng certificate o grupo | Tanging ang mga profile na naka-key sa address |
| Mga protektadong prefix | Lokal at malayong network object | Wala, maliban kung babaguhin mo rin |
Panatilihing buo ang kontrata ng kredensyal. Ang pagbabago ng address ay hindi dahilan para luwagan ang mga pagsusuri ng pagkakakilanlan, at hindi dahilan para idikit ang halimbawang pre-shared key sa isang ticket.
4. Bantayan ang mga aktibong session habang umiiral ang dalawang kandidato
Habang nasa listahan ng kandidato ang dalawang address, magpasya nang nakasulat kung ang luma ay fallback o labi. Ang configuration na may dalawa ay wasto, at wala itong pinapatunayan tungkol sa kung aling peer ang nagdala ng huling session.
Linisin ang mga lumang security association gamit lamang ang peer-scoped na anyo para sa iyong release,clear crypto ipsec sa peer <address>, at asahan na muling makikipagnegosasyon ang mga apektadong tunnel. Ang global reset ay nagbabagsak ng bawat session sa appliance at hindi mapapatawad sa oras ng trabaho.
Pagkatapos ay ipadala ang isang tunay na application flow mula sa protektadong host at kumpirmahin na bumabalik ang tugon sa pamamagitan ng nilalayong endpoint.show vpn-sessiondb l2lay dapat pangalanan ang bagong peer para sa session na iyon, at dapat gumalaw ang byte counter.
5. Isara o i-roll back
Isulat ang rollback bago ang pagbabago: ang lumang listahan ng kandidato, ang lumang pagmamapa ng profile at ang lumang underlay entry. Panatilihin ang independiyenteng management path patungo sa ASA, dahil ang edit ng peer address na kumukuha rin ng access mo ay mahabang gabi. Alisin ang lumang peer at kredensyal pagkatapos lamang ng pagtanggap at pagkatapos maitala ang desisyon sa fallback. Kumpirmahin din na hindi gumalaw ang access policy sa mga protektadong network.
Tapos na ang migrasyon kapag nag-authenticate ang nilalayong peer at nagdadala ng kinakailangang serbisyo sa ilalim ng pinanatiling patakaran. Ang bagong address sa tumatakbong configuration ay ebidensya ng pagta-type, hindi ng tagumpay.