Tunnelni buzmasdan ASA'da IPsec peer manzilini o'zgartirish
Peer manzilini ko'chirish nomzodlar ro'yxati, profil mosligi, underlay va faol seanslarga ta'sir qiladi. Tekshiruv ro'yxatini tartib bilan bajaring.
Peer manzilini o'zgartirish bir qatordek ko'rinadi, lekin migratsiyadek harakat qiladi. Aslida obyektlar to'plami ko'chadi: crypto map'dagi nomzod peer ro'yxati, uzoq tomonni aniqlaydigan profil yoki autentifikatsiya xaritasi,unga yetib boradigan underlay, va eski qiymatlardan qurilgan faol assotsiatsiyalar. Konfiguratsiyani tahrirlashni bu to'plamning birinchi emas, oxirgi qadami deb biling.
1. Biror narsaga tegishdan oldin joriy holatni yozib oling
Tegishli crypto-map yozuvining to'liq nomzodlar ro'yxatidan boshlang, tartib bilan, faqat ishlatilmoqda deb o'ylagan manzildan emas. Tartib muhim, chunki qurilma aslida shuni sinab ko'radi.
Unishow run crypto mapbilan yozib oling va amaldagi yozuvnishow crypto mapbilan o'qing, so'ng ikkala chiqishni rejalashtirilgan yangi qiymat yonida saqlang. U yerda bo'lganingizda har bir mavjud assotsiatsiya qaysi peerni tanlaganini ham yozib qo'ying.
Seans qatlami uchun ham shunday qiling,show vpn-sessiondb l2lvashow crypto ipsec sa peer <old-address>yordamida. Bu ikki chiqish 02:10 da tunnel nima uchun yiqilganini kimdir so'raganda sizning oldingi suratingiz.
2. Yangi peer bir xil siyosat ostida yetib borishini isbotlang
Almashtirishni rejalashtirishdan oldin yetib borish imkoniyatini isbotlang. Ichki interfeysdan yangi peerning himoyalangan tarmog'iga qarabpacket-tracerishga tushirish marshrutlash, NAT istisnosi va kirish siyosati mos kelishini ko'rsatadi. Keyin transport yo'lini tasdiqlang, chunki IKE va IPsec shlyuzlar orasidagi har qanday filtrdan o'tish uchun UDP 500 va 4500 ga muhtoj. Muvaffaqiyatli ping o'zi hech narsani isbotlamaydi.
Agar underlay marshrut yoki tarjima o'zgarishini talab qilsa, bu o'z xavfiga ega ikkinchi o'zgarish. Uni o'sha oynaga qo'shing yoki alohida rejalashtiring, lekin almashtirish o'rtasida topish o'rniga qaysi birini oldindan hal qiling.
3. Faqat manzilni emas, profil xaritasini ham ko'chiring
Peer tanlash va profil tanlash ikki xil qidiruv. LAN-to-LAN ulanish profili umumiy atributlarni saqlaydi va manzil, sertifikat identifikatori yoki guruh nomi bo'yicha mos kelishi mumkin. Profil sertifikat sub'ektiga tayansa, IP ni o'zgartirish qaysi profil mos kelishini o'zgartirmaydi.
| Obyekt | Nimaga kalitlangan | Yangi peer manzili nimaga tegadi |
|---|---|---|
| crypto map nomzodlar ro'yxati | Sozlangan peer yozuvlari va ularning tartibi | ASA birinchi paketlarini qayerga yuboradi |
| Ulanish profili | Manzil, sertifikat identifikatori yoki guruh | Faqat manzilga kalitlangan profillar |
| Himoyalangan prefikslar | Mahalliy va uzoq tarmoq obyektlari | Siz ham o'zgartirmasangiz, hech narsa |
Hisob ma'lumotlari shartnomasini daxlsiz saqlang. Manzil o'zgarishi identifikatsiya tekshiruvlarini yumshatish uchun sabab emas va namunali pre-shared key ni chiptaga yopishtirish uchun ham sabab emas.
4. Ikkala nomzod mavjud bo'lganda faol seanslarni kuzating
Ikkala manzil nomzodlar ro'yxatida turganda, eskisi zaxira yoki qoldiq ekanini yozma hal qiling. Ikkalasini o'z ichiga olgan konfiguratsiya to'g'ri va oxirgi seansni qaysi peer ko'targani haqida hech narsani isbotlamaydi.
Eskirgan xavfsizlik assotsiatsiyalarini faqat versiyangiz uchun peer bilan cheklangan shaklda tozalang,clear crypto ipsec sa peer <address>, va ta'sirlangan tunnellar qayta muzokara qilishini kuting. Global reset qurilmadagi har bir seansni yiqitadi va ish vaqtida kechirilmaydi.
Keyin himoyalangan xostdan bitta haqiqiy dastur oqimini o'tkazing va javob mo'ljallangan so'nggi nuqta orqali qaytishini tasdiqlang.show vpn-sessiondb l2lo'sha seans uchun yangi peerni nomlashi kerak, bayt hisoblagichlari esa harakatlanishi kerak.
5. Yakunlang yoki orqaga qaytaring
O'zgarishdan oldin orqaga qaytarishni yozing: eski nomzodlar ro'yxati, eski profil xaritasi va eski underlay yozuvi. ASA ga mustaqil boshqaruv yo'lini saqlang, chunki kirishni ham olib qo'yadigan peer manzili tahriri uzoq kech bo'ladi. Eskirgan peer va hisob ma'lumotlarini faqat qabuldan va zaxira qarori yozilgandan keyin olib tashlang. Himoyalangan tarmoqlarda kirish siyosati siljimaganini ham tasdiqlang.
Migratsiya mo'ljallangan peer autentifikatsiyadan o'tib, saqlangan siyosat ostida kerakli xizmatni ko'targanda tugaydi. Ishlab turgan konfiguratsiyadagi yangi manzil yozishning dalili, muvaffaqiyatning emas.