IOS'tan ASA'ya VPN geçişi: CLI'yi değil, anlaşmayı çevirin
Crypto map, ASA tunnel-group değildir. Anlaşmanın hangi kısımları taşınır, hangileri yeniden kurulmalı ve hizmetin çalıştığını kanıtlayan kontroller.
ASA geçişi için referans olarak gelen bir IOS yapılandırması, tek bir platformun sözdizimine sarılmış bir anlaşmayı tarif eder. Eş adresleri, kimlikler ve korunan aralıklar anlaşmadır. Anahtar halkası, profil ve crypto map zinciri bunu IOS'un ifade etme biçimidir; ASA ise aynı niyeti tunnel group'lar ve öznitelikleri üzerinden ifade eder. İkinci kısmı kopyalamak asla işe yaramaz, yalnızca birinci kısmı kopyalamak işi yarım bırakır.
Aşağıdaki beş adımı sırayla uygulayın ve iki platformun farklı sözcükler değil farklı şeyler anlattığı yerde durun.
Adım 1: anlaşmayı sözdiziminden ayırın
Devri, her iki yöneticinin de üzerinde anlaştığı gereksinimler olarak yazın. Dört satır neredeyse tamamını kapsar: eşin nerede olduğu ve hangi tarafın başlattığı, her tarafın kimliğini nasıl kanıtladığı, hangi korumanın kabul edilebilir olduğu ve hangi uygulamaların tünelden sağ çıkması gerektiği. Bu satırların hiçbiri bir komut adı vermez.
Orijinal metni talimat değil kanıt olarak saklayın. Bir platformda olup diğerinde olmayan bir satır, aynı gereksinimin başka bir yolla karşılanıp karşılanamayacağını kontrol edene kadar bir sözdizimi farkıdır.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Adım 2: her platformdaki nesneleri adlandırın
IOS XE'de bir IKEv2 anahtar halkası bir IKEv2 profilini besler ve o profil bir crypto map veya IPsec profili üzerinden bağlanır. ASA'da bir tunnel group, bağlantı profilini ve IPsec özniteliklerini tutar; crypto map de ona işaret eder, tıpkı bağlantı profili kılavuzunun anlattığı gibi. Bunlar farklı kalıtıma sahip farklı nesne grafikleridir; bu yüzden satır satır eşleme, ayrıştırılan ama bağlanmayan bir yapılandırma üretir.
Hedef nesneleri kaynak satırlardan değil gereksinim satırlarından kurun. Satırlar tamamsa hedef yapılandırma bir tasarım kararıdır. Tamam değilse, ne kadar komut çevirisi yaparsanız yapın eksik niyeti karşılamaz.
Adım 3: yalnızca adresleri değil, kimliği de taşıyın
Kimlik, sessizce bozulan kısımdır. Adresle kimlik doğrulayan bir eş, sertifika konusu veya FQDN ile kimlik doğrulayandan farklı davranır ve iki platform bu beklentiyi farklı yerlerde kaydeder. Test etmesi daha kolay diye paylaşılan bir sır koymak yerine amaçlanan kimliği ve güven zincirini koruyun.
Önceden paylaşılan sırrı karşılaştırma notlarının ve kayıtların dışında tutun. Ona kimin sahip olduğunu ve onaylı bir kanaldan nasıl geçtiğini yazın; belge örneğindeki bir yer tutucunun müşterinin kimlik bilgisi olmadığını unutmayın.
Adım 4: kesinti öncesinde koruma üzerinde anlaşın
Eski kriptografik ayarları sağlanan metinde var diye ileri taşımayın. Her iki dağıtılmış eşin bugün desteklediği paketlerin kesişiminde anlaşın ve değişiklik penceresinden önce diğer yöneticiyle doğrulayın. Bu kesişim mevcut eşin beklediğinden farklıysa, bu yerel bir düzenleme değil koordineli bir değişikliktir.
Anlaşılan kümeyi yazın. Bir telefon görüşmesine dair hafızaları farklı olan iki yönetici, kesintide ikinci faz uyuşmazlığının tam olarak nasıl doğduğunu gösterir.
Adım 5: hizmeti doğrulayın, sözdizimini değil
Önce hedefin etkin nesnelerini, sonra kabul edilen ilişkilendirmeyi, sonra gerçek bir uygulama akışını ve yanıtını kontrol edin. Bir komutu hatasız girmek sözdizimini kanıtlar, başka hiçbir şeyi değil. Açılıp trafik taşımayan bir tünel genellikle korunan aralıkların veya dönüş rotasının karşı tarafla uyuşmadığı anlamına gelir; bu bir komut değil, gereksinim satırı problemidir. crypto map'e tekrar dokunmadan önce iki taraftaki korunan aralıkları karşılaştırın.
Neyi doğruladığınızı, hangi adreslerle ve hangi taraftan yazın. Bu kayıt, VPN çalışıyor şeklindeki belirsiz iddiayı diğer yöneticinin bağımsız olarak kontrol edebileceği bir şeye dönüştürür.
Ne geri verilmeli
Gereksinim matrisini, hedef yapılandırmanın özetini ve doğrulama sonuçlarını gönderin. Hangi kaynak ayarları ileri taşımadığınızı ve nedenini açıkça belirtin. Bu liste çevrilmiş yapılandırmadan daha faydalıdır, çünkü bir sonraki anlaşmazlık orada başlar.
Kaynak metni de kayda ekleyin. O, neyin istendiğini belgeler; matris ise neyin kararlaştırıldığını belgeler.