Đổi địa chỉ peer IPsec trên ASA mà không làm đứt tunnel

Thay đổi địa chỉ peer trông như một dòng lệnh, nhưng hành xử như một cuộc di trú. Thứ thực sự dịch chuyển là một tập hợp đối tượng: danh sách peer ứng viên trên crypto map, hồ sơ hoặc ánh xạ xác thực nhận diện đầu xa,underlay dẫn tới đó, và các liên kết đang hoạt động được dựng từ các giá trị cũ. Hãy coi việc sửa cấu hình là bước cuối của tập hợp đó, không phải bước đầu.

1. Ghi lại trạng thái hiện tại trước khi động vào bất cứ thứ gì

Bắt đầu bằng toàn bộ danh sách ứng viên của mục crypto-map liên quan, theo thứ tự, không chỉ địa chỉ mà bạn cho là đang dùng. Thứ tự quan trọng vì đó chính là thứ thiết bị thực sự thử.

Ghi lại bằngshow run crypto mapvà đọc mục hiệu lực bằngshow crypto map, sau đó lưu cả hai kết quả bên cạnh giá trị mới dự định. Ghi luôn peer mà mỗi liên kết hiện có đã chọn, khi bạn còn ở đó.

Làm tương tự cho tầng phiên, dùngshow vpn-sessiondb l2lvàshow crypto ipsec sa peer <old-address>. Hai kết quả đó là bức ảnh trước của bạn khi ai đó hỏi vì sao một tunnel sập lúc 02:10.

2. Chứng minh peer mới có thể tới được dưới cùng chính sách

Chứng minh khả năng tới được trước khi lên lịch chuyển. Chạypacket-tracertừ giao diện trong hướng tới mạng được bảo vệ của peer mới cho thấy định tuyến, ngoại lệ NAT và chính sách truy cập có khớp nhau không. Sau đó xác nhận đường truyền, vì IKE và IPsec cần UDP 500 và 4500 để đi qua bất kỳ bộ lọc nào giữa các gateway. Một ping thành công tự nó không chứng minh được gì trong số đó.

Nếu underlay cần tuyến hoặc thay đổi biên dịch địa chỉ, đó là thay đổi thứ hai với rủi ro riêng. Gộp nó vào cùng khung giờ hoặc lên lịch riêng, nhưng hãy quyết định chọn cách nào thay vì phát hiện giữa lúc chuyển.

3. Di chuyển ánh xạ hồ sơ, không chỉ địa chỉ

Chọn peer và chọn hồ sơ là hai lần tra cứu khác nhau. Hồ sơ kết nối LAN-to-LAN giữ các thuộc tính chung và có thể khớp theo địa chỉ, danh tính chứng chỉ hoặc tên nhóm. Đổi IP không làm thay đổi hồ sơ nào khớp khi hồ sơ dựa trên chủ thể chứng chỉ.

Giữ nguyên hợp đồng thông tin xác thực. Đổi địa chỉ không phải lý do để nới lỏng kiểm tra danh tính, cũng không phải lý do để dán một pre-shared key mẫu vào ticket.

4. Theo dõi các phiên đang hoạt động khi cả hai ứng viên cùng tồn tại

Khi cả hai địa chỉ nằm trong danh sách ứng viên, hãy quyết định bằng văn bản xem cái cũ là dự phòng hay tàn dư. Cấu hình chứa cả hai là hợp lệ, và nó không chứng minh gì về việc peer nào đã mang phiên cuối.

Chỉ xóa các liên kết bảo mật cũ bằng dạng giới hạn theo peer cho bản phát hành của bạn,clear crypto ipsec sa peer <address>, và lường trước rằng các tunnel bị ảnh hưởng sẽ đàm phán lại. Đặt lại toàn cục làm rơi mọi phiên trên thiết bị và sẽ không được tha thứ trong giờ làm việc.

Sau đó cho một luồng ứng dụng thật đi từ một máy chủ được bảo vệ và xác nhận phản hồi quay về qua điểm cuối dự định.show vpn-sessiondb l2lphải nêu tên peer mới cho phiên đó, và các bộ đếm byte phải nhích.

5. Kết thúc hoặc quay lui

Viết phương án quay lui trước khi thay đổi: danh sách ứng viên cũ, ánh xạ hồ sơ cũ và mục underlay cũ. Giữ một đường quản trị độc lập tới ASA, vì một sửa đổi địa chỉ peer cũng lấy mất quyền truy cập là một buổi tối dài. Chỉ gỡ peer cũ và thông tin xác thực sau khi nghiệm thu và sau khi quyết định dự phòng được ghi lại. Cũng xác nhận rằng chính sách truy cập trên các mạng được bảo vệ không bị trôi.

Di trú xong khi peer dự định xác thực thành công và mang dịch vụ cần thiết dưới chính sách được giữ nguyên. Địa chỉ mới trong cấu hình đang chạy là bằng chứng của việc gõ, không phải của thành công.