在不中断隧道的情况下更改 ASA 上的 IPsec 对等体地址
移动对等体地址会涉及候选列表、配置文件匹配、底层网络和活动会话。请按顺序完成检查清单。
更改对等体地址看起来只是一行配置，但行为上更像一次迁移。真正移动的是一组对象：crypto map 上的候选对等体列表、用于识别远端的配置文件或身份验证映射、到达远端的底层网络，以及基于旧值建立的活动关联。请把配置编辑视为这组对象的最后一步，而不是第一步。
1. 动手之前先记录当前状态
从相关 crypto-map 条目的完整候选列表开始，按顺序记录，而不只是你认为正在使用的那个地址。顺序很重要，因为设备实际尝试的就是这个顺序。
用show run crypto map记录，并用show crypto map读取生效条目，然后把两份输出保存在计划的新值旁边。顺便记下每个现有关联选择了哪个对等体。
会话层同样处理，使用show vpn-sessiondb l2l和show crypto ipsec sa peer <old-address>。当有人问起隧道为何在 02:10 掉线时，这两份输出就是你变更前的快照。
2. 证明新对等体在同一策略下可达
在安排切换之前先证明可达性。从内部接口向新对等体的受保护网络执行packet-tracer，可以看出路由、NAT 豁免和访问策略是否一致。然后确认传输路径，因为 IKE 和 IPsec 需要 UDP 500 和 4500 才能穿过网关之间的任何过滤器。一次成功的 ping 本身证明不了这些。
如果底层网络需要路由或地址转换变更，那是另一项带自身风险的变更。把它并入同一窗口或单独安排，但要事先决定，而不是在切换途中才发现。
3. 移动配置文件映射，而不只是地址
对等体选择与配置文件选择是两次不同的查找。LAN-to-LAN 连接配置文件保存通用属性，可能按地址、证书身份或组名匹配。当配置文件以证书主体为依据时，更改 IP 并不会改变哪个配置文件匹配。
| 对象 | 以什么为键 | 新对等体地址影响什么 |
|---|---|---|
| crypto map 候选列表 | 已配置的对等体条目及其顺序 | ASA 发送初始数据包的目的地 |
| 连接配置文件 | 地址、证书身份或组 | 仅以地址为键的配置文件 |
| 受保护前缀 | 本地和远程网络对象 | 除非你也改动，否则没有影响 |
保持凭据契约不变。更改地址不是放松身份检查的理由，也不是把示例预共享密钥贴进工单的理由。
4. 两个候选同时存在时观察活动会话
当两个地址都在候选列表中时，以书面形式确定旧地址是回退还是残留。同时包含两者的配置是有效的，但它并不能证明哪个对等体承载了最后一次会话。
清除过期的安全关联时，只使用适用于你的版本的对等体范围形式，clear crypto ipsec sa peer <address>，并预期受影响的隧道会重新协商。全局重置会中断设备上的所有会话，在营业时间内不会被原谅。
然后从受保护主机放行一条真实应用流，确认响应通过预期端点返回。show vpn-sessiondb l2l应当为该会话指出新的对等体，字节计数器应当增长。
5. 结束变更或回滚
在变更前写好回滚：旧的候选列表、旧的配置文件映射和旧的底层条目。保留一条独立的 ASA 管理路径，因为一次连访问权限都一并夺走的对等体地址编辑会是一个漫长的夜晚。只有在验收通过并记录回退决定之后，才移除过时的对等体和凭据。还要确认受保护网络上的访问策略没有漂移。
当预期对等体通过身份验证并在保留的策略下承载所需服务时，迁移就完成了。运行配置中出现新地址只是输入的证据，而不是成功的证据。