IOS'dan ASA'ga VPN ko'chirish: kelishuvni tarjima qiling, CLI emas
Crypto map ASA tunnel-group'i emas. Kelishuvning qaysi qismlari ko'chadi, qaysilarini qayta qurish kerak va xizmat ishlayotganini isbotlaydigan tekshiruvlar.
ASA migratsiyasi uchun namuna sifatida kelgan IOS konfiguratsiyasi bitta platforma sintaksisiga o'ralgan kelishuvni tasvirlaydi. Peer manzillari, identifikatsiya va himoyalangan diapazonlar — kelishuvning o'zi. Key ring, profil va crypto map zanjiri — IOS buni qanday ifodalashi, ASA esa xuddi shu niyatni tunnel guruhlari va ularning atributlari orqali ifodalaydi. Ikkinchi qismni ko'chirish hech qachon ishlamaydi, faqat birinchisini ko'chirish esa ishni yarim qoldiradi.
Quyidagi besh qadamni tartib bilan bosib o'ting va ikkala platforma faqat turli so'zlarni emas, turli narsalarni tasvirlaydigan har qanday joyda to'xtang.
1-qadam: kelishuvni sintaksisdan ajratish
Topshirishni ikkala administrator ham rozi bo'ladigan talablar shaklida yozing. To'rt qator deyarli hammasini qamrab oladi: peer qayerda va qaysi tomon boshlaydi, har bir tomon o'z identifikatsiyasini qanday isbotlaydi, qanday himoya maqbul, va qaysi ilovalar tunnel ichidan o'tishi shart. Bu qatorlarning hech birida buyruq tilga olinmaydi.
Asl matnni ko'rsatma emas, dalil sifatida saqlang. Bir platformada bor, boshqasida yo'q qator — bir xil talabni boshqa yo'l bilan qondirish mumkinmi yoki yo'qmi, tekshirmaguningizcha faqat sintaksis farqi.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
2-qadam: obyektlarni har bir platformada nomlash
IOS XE'da IKEv2 key ring IKEv2 profilini oziqlantiradi, bu profil esa crypto map yoki IPsec profili orqali ulanadi. ASA'da tunnel group connection profilini va uning IPsec atributlarini saqlaydi, crypto map esa unga ishora qiladi — connection profile qo'llanmasi aytganidek. Bular meros mexanizmi boshqacha bo'lgan turli obyekt graflari, shuning uchun satrma-satr xaritalash parse bo'ladigan, lekin ulanmaydigan konfiguratsiya beradi.
Maqsad obyektlarni manba satrlaridan emas, talab qatorlaridan quring. Agar qatorlar to'liq bo'lsa, maqsad konfiguratsiyasi shunchaki dizayn qarori. Bo'lmasa, qancha buyruq tarjima qilsangiz ham yetishmayotgan niyatni to'ldirmaysiz.
3-qadam: faqat manzillarni emas, identifikatsiyani olib o'ting
Identifikatsiya — jimgina buziladigan qism. Manzil bo'yicha autentifikatsiya qiladigan peer sertifikat subject'i yoki FQDN bo'yicha autentifikatsiya qiladiganidan boshqacha ishlaydi, va ikki platforma bu kutilmani turli joylarda qayd etadi. Ko'zlangan identifikatsiya va ishonch zanjirini saqlang; sinash osonroq deb shared secret bilan almashtirmang.
Preshared secret taqqoslash qaydlaridan va ticketlardan tashqarida tursin. U kimga tegishli ekanini va tasdiqlangan kanal orqali qanday harakatlanishini yozib qo'ying, hamda yodda tuting: hujjat misolidagi placeholder xaridorning haqiqiy hisob ma'lumoti emas.
4-qadam: himoyani cutover'dan oldin kelishib oling
Eski kriptografik sozlamalarni taqdim etilgan matnda bor deb ko'chirmang. Ikkala ishga tushirilgan peer hozir qo'llab-quvvatlaydigan suite'lar kesishmasini kelishib oling va o'zgarish oynasidan oldin boshqa administrator bilan tasdiqlang. Agar bu kesishma mavjud peer kutganidan farq qilsa, bu lokal tahrir emas, muvofiqlashtirilgan o'zgarish.
Kelishilgan to'plamni yozib qo'ying. Ikki administratorning bitta telefon suhbati haqida turlicha xotirasi — cutover'da ikkinchi faza nomuvofiqligi shu tarzda paydo bo'ladi.
5-qadam: sintaksisni emas, xizmatni tekshiring
Avval maqsadning amaldagi obyektlarini, keyin qabul qilingan assotsiatsiyani, so'ng haqiqiy ilova oqimi va uning javobini tekshiring. Buyruqni xatosiz kiritish faqat sintaksisni isbotlaydi, boshqa hech narsani. Tunnel ko'tarilib, hech qanday trafik o'tkazmasa, bu odatda himoyalangan diapazonlar yoki qaytish marshruti narigi tomon bilan mos kelmasligini bildiradi — bu buyruq emas, talab qatori muammosi. Crypto map'ga yana tegishdan oldin ikki tomondagi himoyalangan diapazonlarni solishtiring.
Nimani, qaysi manzillar bilan, qaysi tomondan tekshirganingizni yozib qo'ying. Bu qayd "VPN ko'tarildi" degan noaniq da'voni boshqa administrator mustaqil tekshira oladigan narsaga aylantiradi.
Nima topshirish kerak
Talablar matritsasi, maqsad konfiguratsiyasining qisqacha mazmuni va tekshiruv natijalarini yuboring. Qaysi manba sozlamalarini ko'chirmaganingizni va nima uchunligini aniq ayting. Bu ro'yxat tarjima qilingan konfiguratsiyadan foydaliroq, chunki keyingi kelishmovchilik aynan o'sha yerdan boshlanadi.
Manba matnni ham ticket bilan birga saqlang. U nima so'ralganini hujjatlashtiradi, matritsa esa nima kelishilganini.