Змінити адресу IPsec-піра на ASA, не розірвавши тунель
Перенесення адреси піра зачіпає список кандидатів, зіставлення профілю, underlay і активні сеанси. Пройдіть контрольний список по порядку.
Зміна адреси піра виглядає як один рядок, але поводиться як міграція. Насправді переміщується набір об'єктів: список кандидатів пірів у crypto map, профіль або зіставлення автентифікації, що ідентифікує дальній кінець,underlay, який до нього доходить, і активні асоціації, побудовані на старих значеннях. Вважайте правку конфігурації останнім кроком цього набору, а не першим.
1. Зафіксуйте поточний стан, перш ніж щось чіпати
Почніть із повного списку кандидатів для відповідного запису crypto-map, по порядку, а не лише з адреси, яку ви вважаєте використовуваною. Порядок важливий, бо саме його пристрій насправді пробує.
Зафіксуйте його командоюshow run crypto mapі прочитайте чинний запис командоюshow crypto map, потім збережіть обидва виводи поруч із запланованим новим значенням. Там же занотуйте, якого піра вибрала кожна наявна асоціація.
Те саме зробіть для рівня сеансів, командоюshow vpn-sessiondb l2lіshow crypto ipsec sa peer <old-address>. Ці два виводи — ваша картина до зміни, коли хтось запитає, чому тунель упав о 02:10.
2. Доведіть, що новий пір доступний за тієї самої політики
Доведіть доступність до планування перемикання. Запускpacket-tracerіз внутрішнього інтерфейсу в бік захищеної мережі нового піра показує, чи узгоджуються маршрутизація, виняток NAT і політика доступу. Потім підтвердьте транспортний шлях, бо IKE та IPsec потребують UDP 500 і 4500, щоб пройти будь-який фільтр між шлюзами. Успішний ping сам по собі нічого з цього не доводить.
Якщо underlay потребує маршруту або зміни трансляції, це друга зміна з власним ризиком. Об'єднайте її в те саме вікно або заплануйте окремо, але вирішіть, що саме, а не виявляйте це посеред перемикання.
3. Переносьте зіставлення профілю, а не лише адресу
Вибір піра і вибір профілю — два різні пошуки. Профіль з'єднання LAN-to-LAN зберігає загальні атрибути і може збігатися за адресою, ідентичністю сертифіката або назвою групи. Зміна IP не змінює, який профіль збігається, коли профіль спирається на суб'єкт сертифіката.
| Об'єкт | За чим він зіставляється | Що зачіпає нова адреса піра |
|---|---|---|
| Список кандидатів crypto map | Налаштовані записи пірів та їхній порядок | Куди ASA надсилає свої перші пакети |
| Профіль з'єднання | Адреса, ідентичність сертифіката або група | Лише профілі, прив'язані до адреси |
| Захищені префікси | Локальні та віддалені мережеві об'єкти | Нічого, якщо ви їх теж не зміните |
Зберігайте контракт облікових даних незмінним. Зміна адреси не є приводом послаблювати перевірки ідентичності й не є приводом вставляти приклад pre-shared key у тікет.
4. Спостерігайте за активними сеансами, поки існують обидва кандидати
Поки обидві адреси стоять у списку кандидатів, письмово вирішіть, старий — це резерв чи залишок. Конфігурація з обома чинна, і вона нічого не доводить про те, який пір ніс останній сеанс.
Очищайте застарілі асоціації безпеки лише формою, обмеженою піром, для вашої версії,clear crypto ipsec sa peer <address>, і очікуйте, що постраждалі тунелі проведуть переговори заново. Глобальне скидання валить кожен сеанс на пристрої і не буде прощене в робочий час.
Потім пропустіть один реальний потік застосунку із захищеного хоста і підтвердьте, що відповідь повертається через передбачену кінцеву точку.show vpn-sessiondb l2lмає назвати нового піра для цього сеансу, а лічильники байтів мають рухатися.
5. Закрийте або відкатіть
Напишіть відкат до зміни: старий список кандидатів, старе зіставлення профілю і старий запис underlay. Тримайте незалежний шлях керування до ASA, бо правка адреси піра, яка ще й забирає доступ, — це довгий вечір. Видаляйте застарілого піра й облікові дані лише після приймання та після фіксації рішення про резерв. Переконайтеся також, що політика доступу в захищених мережах не з'їхала.
Міграція завершена, коли передбачений пір проходить автентифікацію і несе потрібну службу за збереженої політики. Нова адреса в робочій конфігурації — доказ набору, а не успіху.