Chuyển VPN từ IOS sang ASA: dịch thỏa thuận, không phải CLI
Crypto map không phải tunnel-group của ASA. Phần nào của thỏa thuận chuyển được, phần nào phải dựng lại, và những kiểm tra chứng minh dịch vụ hoạt động.
Một cấu hình IOS được đưa tới làm tham chiếu cho một lần chuyển đổi ASA mô tả một thỏa thuận được gói trong cú pháp của một nền tảng. Địa chỉ đầu xa, danh tính và các dải được bảo vệ mới là thỏa thuận. Chuỗi key ring, profile và crypto map là cách IOS diễn đạt nó, còn ASA diễn đạt cùng ý định đó qua tunnel group và các thuộc tính của nó. Sao chép phần thứ hai thì không bao giờ chạy, còn chỉ sao chép phần thứ nhất thì công việc mới xong một nửa.
Đi lần lượt qua năm bước dưới đây, và dừng lại ở bất cứ chỗ nào hai nền tảng mô tả những thứ khác nhau chứ không chỉ những từ khác nhau.
Bước 1: tách thỏa thuận khỏi cú pháp
Viết bản bàn giao thành các yêu cầu mà cả hai quản trị viên đều đồng ý. Bốn dòng bao gần như toàn bộ: đầu xa ở đâu và bên nào khởi tạo, mỗi bên chứng minh danh tính của mình thế nào, mức bảo vệ nào là chấp nhận được, và những ứng dụng nào phải sống sót qua tunnel. Không dòng nào trong số đó nhắc tới một câu lệnh.
Giữ văn bản gốc như bằng chứng chứ không phải chỉ dẫn. Một dòng tồn tại trên nền tảng này mà không có trên nền tảng kia vẫn chỉ là khác biệt cú pháp, cho tới khi bạn kiểm tra xem cùng yêu cầu đó có thể được đáp ứng bằng cách khác hay không.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Bước 2: đặt tên các đối tượng trên từng nền tảng
Trên IOS XE, một key ring IKEv2 cấp cho một profile IKEv2, và profile đó được gắn qua crypto map hoặc IPsec profile. Trên ASA, một tunnel group giữ connection profile cùng các thuộc tính IPsec của nó, và crypto map trỏ tới đó, đúng như hướng dẫn về connection profile mô tả. Đó là những đồ thị đối tượng khác nhau với cơ chế kế thừa khác nhau, nên ánh xạ từng dòng sẽ cho ra một cấu hình phân tích được mà không kết nối được.
Hãy dựng các đối tượng đích từ những dòng yêu cầu chứ không phải từ các dòng cấu hình nguồn. Nếu các dòng đó đầy đủ, cấu hình đích chỉ còn là một quyết định thiết kế. Nếu không, dịch lệnh bao nhiêu cũng không bù được phần ý định còn thiếu.
Bước 3: mang theo danh tính, không chỉ địa chỉ
Danh tính là phần vỡ một cách lặng lẽ. Một đầu xa xác thực bằng địa chỉ hành xử khác với đầu xa xác thực bằng subject chứng chỉ hoặc FQDN, và hai nền tảng ghi lại kỳ vọng đó ở những chỗ khác nhau. Hãy giữ nguyên danh tính và chuỗi tin cậy dự định, thay vì thay bằng shared secret vì nó dễ kiểm thử hơn.
Đừng để preshared secret lọt vào ghi chú so sánh và ticket. Ghi lại ai sở hữu nó và nó đi qua kênh nào đã được phê duyệt, và nhớ rằng một placeholder trong ví dụ tài liệu không phải thông tin xác thực của khách hàng.
Bước 4: thống nhất mức bảo vệ trước khi cắt chuyển
Đừng mang các thiết lập mật mã cũ sang chỉ vì chúng xuất hiện trong văn bản được cung cấp. Hãy thống nhất một giao của các bộ thuật toán mà cả hai đầu xa đang triển khai hiện đều hỗ trợ, và xác nhận với quản trị viên bên kia trước cửa sổ thay đổi. Nếu giao đó khác với kỳ vọng của đầu xa hiện có, thì đây là một thay đổi có phối hợp chứ không phải chỉnh sửa cục bộ.
Hãy viết bộ đã thống nhất ra giấy. Hai quản trị viên nhớ khác nhau về cùng một cuộc gọi là cách một lần cắt chuyển sinh ra lệch pha hai.
Bước 5: kiểm tra dịch vụ, không phải cú pháp
Hãy kiểm tra các đối tượng hiệu lực của đích trước, rồi tới hiệp liên kết đã được chấp nhận, rồi tới một luồng ứng dụng thật và phản hồi của nó. Nhập một câu lệnh mà không báo lỗi chỉ chứng minh cú pháp, không gì hơn. Một tunnel dựng lên mà không mang lưu lượng thường có nghĩa các dải được bảo vệ hoặc tuyến quay về không khớp với bên kia, đó là vấn đề của dòng yêu cầu chứ không phải của câu lệnh. Hãy so sánh các dải được bảo vệ ở hai bên trước khi chạm lại vào crypto map.
Ghi lại bạn đã kiểm tra gì, với địa chỉ nào, từ phía nào. Bản ghi đó biến một tuyên bố mơ hồ rằng VPN đang lên thành thứ mà quản trị viên bên kia có thể tự kiểm chứng.
Cần bàn giao lại những gì
Gửi ma trận yêu cầu, bản tóm tắt cấu hình đích và kết quả kiểm tra. Nói rõ những thiết lập nguồn nào bạn không mang sang và vì sao. Danh sách đó hữu ích hơn cấu hình đã dịch, vì đó là nơi cuộc bất đồng tiếp theo sẽ bắt đầu.
Giữ cả văn bản nguồn cùng ticket. Nó ghi lại điều đã được yêu cầu, còn ma trận ghi lại điều đã được thống nhất.