ٹنل توڑے بغیر ASA پر IPsec پیر کا پتہ تبدیل کرنا
پیر کا پتہ ہٹانے سے امیدوار فہرست، پروفائل کی مطابقت، انڈرلے اور فعال سیشن متاثر ہوتے ہیں۔ چیک لسٹ ترتیب سے مکمل کریں۔
پیر کے پتے کی تبدیلی ایک سطر کا کام لگتی ہے، مگر ہجرت کی طرح برتاؤ کرتی ہے۔ درحقیقت اشیاء کا ایک مجموعہ حرکت کرتا ہے: crypto map پر امیدوار پیروں کی فہرست، دور کے سرے کی شناخت کرنے والا پروفائل یا تصدیق کی میپنگ،وہ انڈرلے جو وہاں پہنچتا ہے، اور پرانی قدروں سے بنے فعال تعلقات۔ کنفیگریشن کی ترمیم کو اس مجموعے کا پہلا نہیں، آخری قدم سمجھیں۔
1. کسی چیز کو چھونے سے پہلے موجودہ حالت ریکارڈ کریں
متعلقہ crypto-map اندراج کی پوری امیدوار فہرست سے شروع کریں، ترتیب سے، صرف اس پتے سے نہیں جو آپ کے خیال میں زیر استعمال ہے۔ ترتیب اہم ہے کیونکہ آلہ درحقیقت اسی کو آزمانا ہے۔
اسےshow run crypto mapسے ریکارڈ کریں اور مؤثر اندراجshow crypto mapسے پڑھیں، پھر دونوں آؤٹ پٹ منصوبہ بند نئی قدر کے ساتھ محفوظ کریں۔ وہاں رہتے ہوئے یہ بھی لکھیں کہ ہر موجودہ تعلق نے کون سا پیر منتخب کیا۔
سیشن کی تہہ کے لیے بھی یہی کریں،show vpn-sessiondb l2lاورshow crypto ipsec sa peer <old-address>استعمال کرتے ہوئے۔ یہ دو آؤٹ پٹ اس وقت آپ کی پہلی تصویر ہیں جب کوئی پوچھے کہ 02:10 پر ٹنل کیوں گرا۔
2. ثابت کریں کہ نیا پیر اسی پالیسی کے تحت قابل رسائی ہے
سوئچ کا شیڈول بنانے سے پہلے رسائی ثابت کریں۔ اندرونی انٹرفیس سے نئے پیر کے محفوظ نیٹ ورک کی طرفpacket-tracerچلانے سے دکھتا ہے کہ روٹنگ، NAT استثنا اور رسائی پالیسی مطابقت رکھتے ہیں یا نہیں۔ پھر ٹرانسپورٹ راستہ تصدیق کریں، کیونکہ گیٹ ویز کے درمیان کسی بھی فلٹر سے گزرنے کے لیے IKE اور IPsec کو UDP 500 اور 4500 درکار ہیں۔ کامیاب ping بذات خود ان میں سے کچھ ثابت نہیں کرتا۔
اگر انڈرلے کو راستہ یا ترجمے کی تبدیلی درکار ہو تو یہ اپنے خطرے والی دوسری تبدیلی ہے۔ اسے اسی ونڈو میں شامل کریں یا الگ شیڈول کریں، مگر سوئچ کے درمیان دریافت کرنے کے بجائے پہلے فیصلہ کریں کہ کون سی۔
3. صرف پتہ نہیں، پروفائل میپنگ بھی ہٹائیں
پیر کا انتخاب اور پروفائل کا انتخاب دو الگ تلاشیں ہیں۔ LAN-to-LAN کنکشن پروفائل عمومی خصوصیات رکھتا ہے اور پتہ، سرٹیفکیٹ شناخت یا گروپ نام پر مطابقت رکھ سکتا ہے۔ جب پروفائل سرٹیفکیٹ کے موضوع پر مبنی ہو تو IP بدلنے سے یہ نہیں بدلتا کہ کون سا پروفائل مطابقت رکھتا ہے۔
| شے | کس پر کلید بندھی ہے | نیا پیر پتہ کسے چھوتا ہے |
|---|---|---|
| crypto map امیدوار فہرست | ترتیب شدہ پیر اندراجات اور ان کی ترتیب | ASA اپنے پہلے پیکٹ کہاں بھیجتا ہے |
| کنکشن پروفائل | پتہ، سرٹیفکیٹ شناخت یا گروپ | صرف پتے پر کلید شدہ پروفائل |
| محفوظ سابقے | مقامی اور دور دراز نیٹ ورک اشیاء | کچھ نہیں، جب تک آپ بھی نہ بدلیں |
اسناد کا معاہدہ جوں کا توں رکھیں۔ پتہ بدلنا شناخت کی جانچ ڈھیلی کرنے کی وجہ نہیں، اور نمونہ pre-shared key ٹکٹ میں چپکانے کی وجہ بھی نہیں۔
4. دونوں امیدوار موجود ہوں تو فعال سیشن دیکھیں
جب تک دونوں پتے امیدوار فہرست میں ہیں، تحریری طور پر فیصلہ کریں کہ پرانا بیک اپ ہے یا باقیات۔ دونوں والی کنفیگریشن درست ہے، اور یہ ثابت نہیں کرتی کہ آخری سیشن کون سا پیر لے گیا۔
پرانی سیکیورٹی تعلقات صرف اپنی ریلیز کے پیر محدود فارم سے صاف کریں،clear crypto ipsec sa peer <address>، اور توقع رکھیں کہ متاثرہ ٹنل دوبارہ مذاکرات کریں گے۔ عالمی ری سیٹ آلات کے ہر سیشن کو گرا دیتا ہے اور دفتری اوقات میں معاف نہیں کیا جائے گا۔
پھر محفوظ ہوسٹ سے ایک حقیقی ایپلیکیشن بہاؤ گزاریں اور تصدیق کریں کہ جواب مطلوبہ اینڈ پوائنٹ سے واپس آتا ہے۔show vpn-sessiondb l2lکو اس سیشن کے لیے نیا پیر نامزد کرنا چاہیے، اور بائٹ کاؤنٹر حرکت کرنے چاہئیں۔
5. ختم کریں یا واپس پلٹیں
تبدیلی سے پہلے رول بیک لکھیں: پرانی امیدوار فہرست، پرانی پروفائل میپنگ اور پرانا انڈرلے اندراج۔ ASA تک خودمختار انتظامی راستہ رکھیں، کیونکہ پیر پتے کی ترمیم جو رسائی بھی چھین لے ایک طویل شام ہے۔ پرانا پیر اور اسناد صرف قبولیت کے بعد اور بیک اپ فیصلہ ریکارڈ ہونے کے بعد ہٹائیں۔ یہ بھی تصدیق کریں کہ محفوظ نیٹ ورکس پر رسائی پالیسی نہیں کھسی۔
ہجرت مکمل ہوتی ہے جب مطلوبہ پیر تصدیق سے گزرے اور محفوظ پالیسی کے تحت مطلوبہ خدمت اٹھائے۔ چلتی کنفیگریشن میں نیا پتہ ٹائپ کرنے کا ثبوت ہے، کامیابی کا نہیں۔