Tüneli bozmadan bir ASA üzerinde IPsec eş adresini değiştirme

Bir eş adresi değişikliği tek satır gibi görünür ama bir geçiş gibi davranır. Gerçekte hareket eden şey bir nesne kümesidir: crypto map üzerindeki aday eş listesi, uzak ucu tanımlayan profil veya kimlik doğrulama eşlemesi,oraya ulaşan underlay, ve eski değerlerden kurulmuş etkin ilişkiler. Yapılandırma düzenlemesini bu kümenin son adımı olarak görün, ilk adımı değil.

1. Bir şeye dokunmadan önce mevcut durumu kaydedin

İlgili crypto-map girdisinin tüm aday listesiyle başlayın, sırayla, yalnızca kullanımda olduğunu düşündüğünüz adresle değil. Sıra önemlidir çünkü cihazın gerçekte denediği şey odur.

Bunushow run crypto mapile kaydedin ve geçerli girdiyishow crypto mapile okuyun, ardından iki çıktıyı da planlanan yeni değerin yanına kaydedin. Oradaki her mevcut ilişkinin hangi eşi seçtiğini de not edin.

Aynısını oturum katmanı için de yapın,show vpn-sessiondb l2lveshow crypto ipsec sa peer <old-address>kullanarak. Bu iki çıktı, biri tünel 02:10'da neden düştü diye sorduğunda sizin önceki resminizdir.

2. Yeni eşin aynı politika altında erişilebilir olduğunu kanıtlayın

Geçişi planlamadan önce erişilebilirliği kanıtlayın. İç arayüzden yeni eşin korunan ağına doğrupacket-tracerçalıştırmak yönlendirme, NAT istisnası ve erişim politikasının uyuşup uyuşmadığını gösterir. Ardından taşıma yolunu doğrulayın, çünkü IKE ve IPsec'in ağ geçitleri arasındaki herhangi bir filtreden geçmesi için UDP 500 ve 4500 gerekir. Başarılı bir ping bunların hiçbirini tek başına kanıtlamaz.

Underlay bir yol veya çeviri değişikliği gerektiriyorsa bu, kendi riski olan ikinci bir değişikliktir. Aynı pencereye katın veya ayrı planlayın, ama geçişin ortasında keşfetmek yerine hangisini yapacağınıza karar verin.

3. Yalnızca adresi değil profil eşlemesini de taşıyın

Eş seçimi ile profil seçimi iki farklı aramadır. LAN-to-LAN bağlantı profili genel nitelikler taşır ve bir adres, sertifika kimliği veya grup adı üzerinden eşleşebilir. Profil bir sertifika öznesine dayandığında IP'yi değiştirmek hangi profilin eşleştiğini değiştirmez.

Kimlik bilgisi sözleşmesini bozmayın. Adres değişikliği kimlik denetimlerini gevşetmek için bir neden değildir ve örnek bir pre-shared key'i bilete yapıştırmak için de bir neden değildir.

4. İki aday da varken etkin oturumları izleyin

İki adres de aday listesindeyken eskisinin yedek mi kalıntı mı olduğuna yazılı olarak karar verin. İkisini de içeren yapılandırma geçerlidir ve son oturumu hangi eşin taşıdığına dair hiçbir şey kanıtlamaz.

Eski güvenlik ilişkilerini yalnızca sürümünüz için eş kapsamlı biçimle temizleyin,clear crypto ipsec sa peer <address>, ve etkilenen tünellerin yeniden müzakere edeceğini bekleyin. Genel sıfırlama cihazdaki her oturumu düşürür ve mesai saatlerinde affedilmez.

Sonra korunan bir ana bilgisayardan gerçek bir uygulama akışı geçirin ve yanıtın amaçlanan uç noktadan geri döndüğünü doğrulayın.show vpn-sessiondb l2lo oturum için yeni eşi adlandırmalı ve bayt sayaçları hareket etmelidir.

5. Kapatın veya geri alın

Değişiklikten önce geri almayı yazın: eski aday listesi, eski profil eşlemesi ve eski underlay girdisi. ASA'ya bağımsız bir yönetim yolu tutun, çünkü erişiminizi de alan bir eş adresi düzenlemesi uzun bir akşamdır. Eskimiş eşi ve kimlik bilgilerini ancak kabulden ve yedek kararı kaydedildikten sonra kaldırın. Korunan ağlardaki erişim politikasının kaymadığını da doğrulayın.

Geçiş, amaçlanan eş kimlik doğrulamasını geçip korunan politika altında gereken hizmeti taşıdığında tamamlanır. Çalışan yapılandırmadaki yeni adres yazmanın kanıtıdır, başarının değil.