Paglipat ng VPN mula IOS patungong ASA: isalin ang kasunduan, hindi ang CLI
Ang crypto map ay hindi ASA tunnel-group. Aling bahagi ng kasunduan ang naililipat, alin ang kailangang itayong muli at ang mga pagsusuring nagpapatunay na gumagana ang serbisyo.
Ang isang kompigurasyon ng IOS na dumarating bilang sanggunian para sa paglipat patungong ASA ay naglalarawan ng kasunduang nabalot sa sintaks ng isang plataporma. Ang mga address ng kabilang dulo, mga pagkakakilanlan at mga protektadong saklaw ang kasunduan. Ang key ring, profile at kadena ng crypto map ang paraan ng pagpapahayag ng IOS, habang ang ASA ay nagpapahayag ng gayunding layunin sa pamamagitan ng tunnel group at kanilang mga katangian. Hindi kailanman gumagana ang pagkopya ng ikalawang bahagi, at ang pagkopya lamang ng una ay nag-iiwan sa gawain na kalahating tapos.
Daanan ang limang hakbang sa ibaba nang sunod-sunod, at huminto saanman naglalarawan ang dalawang plataporma ng magkaibang bagay, hindi magkaibang salita.
Hakbang 1: ihiwalay ang kasunduan sa sintaks
Isulat ang pagturnover bilang mga pangangailangang sinasang-ayunan ng dalawang administrador. Apat na hilera ang sumasaklaw sa halos lahat: nasaan ang kabilang dulo at aling panig ang nagpasimula, paano pinatutunayan ng bawat panig ang pagkakakilanlan nito, anong proteksyon ang katanggap-tanggap at aling mga aplikasyon ang dapat mabuhay sa tunel. Wala sa mga hilerang iyon ang nagbabanggit ng utos.
Itago ang orihinal na teksto bilang ebidensya, hindi bilang tagubilin. Ang linyang umiiral sa isang plataporma at wala sa isa ay pagkakaiba sa sintaks hanggang masuri mo kung ang gayunding pangangailangan ay matutugunan sa ibang paraan.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Hakbang 2: pangalanan ang mga bagay sa bawat plataporma
Sa IOS XE isang IKEv2 key ring ang nagpapakain sa isang IKEv2 profile, at ang profile na iyon ay ikinakabit sa pamamagitan ng crypto map o IPsec profile. Sa ASA isang tunnel group ang humahawak sa connection profile at mga katangiang IPsec nito, at ang crypto map ay tumuturo rito, gaya ng inilalarawan ng gabay sa connection profile. Magkaibang grap ng bagay ang mga ito na may magkaibang pamana, kaya ang pagmamapa nang linya-linya ay nagbibigay ng kompigurasyong napaparse ngunit hindi kumokonekta.
Itayo ang mga target na bagay mula sa mga hilera ng pangangailangan, hindi mula sa mga linyang pinagmulan. Kung kumpleto ang mga hilera, ang target na kompigurasyon ay isang desisyon sa disenyo. Kung hindi, walang dami ng pagsasalin ng utos ang magbibigay ng nawawalang layunin.
Hakbang 3: ilipat ang pagkakakilanlan, hindi lamang ang mga address
Ang pagkakakilanlan ang bahaging tahimik na nasisira. Ang kabilang dulong nagpapatunay sa pamamagitan ng address ay kumikilos nang iba sa nagpapatunay sa pamamagitan ng subject ng sertipiko o FQDN, at ang dalawang plataporma ay nagtatala ng inaasahang iyon sa magkaibang lugar. Panatilihin ang inilayong pagkakakilanlan at kadena ng pagtitiwala sa halip na palitan ng pinagsasaluhang lihim dahil mas madaling subukan.
Itago ang pinagsasaluhang lihim sa labas ng mga tala sa paghahambing at mga ticket. Itala kung sino ang may-ari at paano ito gumagalaw sa inaprubahang channel, at tandaan na ang placeholder mula sa halimbawa ng dokumentasyon ay hindi kredensyal ng customer.
Hakbang 4: magkasundo sa proteksyon bago ang paglilipat
Huwag ilipat ang lumang mga kriptograpikong setting dahil lamang lumilitaw ang mga ito sa ibinigay na teksto. Magkasundo sa intersection ng mga suite na kasalukuyang sinusuportahan ng dalawang naka-deploy na kabilang dulo, at kumpirmahin ito sa kabilang administrador bago ang window ng pagbabago. Kung ang intersection na iyon ay naiiba sa inaasahan ng umiiral na kabilang dulo, ito ay koordinadong pagbabago, hindi lokal na pag-edit.
Isulat ang napagkasunduang set. Dalawang administrador na may magkaibang alaala ng isang tawag sa telepono ang dahilan kung bakit nagbubunga ng hindi pagkakatugma sa ikalawang yugto ang isang paglilipat.
Hakbang 5: i-verify ang serbisyo, hindi ang sintaks
Suriin muna ang mga epektibong bagay ng target, pagkatapos ang tinanggap na association, pagkatapos ang tunay na daloy ng aplikasyon at ang tugon nito. Ang pagpasok ng utos na walang error ay nagpapatunay ng sintaks at wala nang iba. Ang tunel na bumangon at walang dalang trapiko ay karaniwang nangangahulugang ang mga protektadong saklaw o ang rutang pabalik ay hindi tugma sa kabilang panig, na problema sa hilera ng pangangailangan hindi problema sa utos. Ihambing ang mga protektadong saklaw sa dalawang panig bago muling hawakan ang crypto map.
Itala ang na-verify mo, kasama ang aling mga address, mula sa aling panig. Ang talaang iyon ay ginagawang bagay na malayang masusuri ng kabilang administrador ang malabong pahayag na gumagana ang VPN.
Ano ang ibabalik
Ipadala ang matrix ng pangangailangan, isang buod ng target na kompigurasyon at ang mga resulta ng verification. Sabihin nang tahasan kung aling mga setting ng pinagmulan ang hindi mo dinala at bakit. Ang listahang iyon ay mas kapaki-pakinabang kaysa sa naisaling kompigurasyon, dahil doon magsisimula ang susunod na hindi pagkakasundo.
Itago rin ang tekstong pinagmulan kasama ng ticket. Idinodokumento nito kung ano ang hiniling, habang idinodokumento ng matrix kung ano ang napagkasunduan.