ASA 8.x/ASDM 6.x: إضافة معلومات نظير VPN جديدة في شبكة VPN موجودة من موقع إلى موقع باستخدام ASDM

المقدمة

يقدم هذا المستند معلومات حول تغييرات التكوين التي يتم إجراؤها عند إضافة نظير شبكة VPN جديد إلى تكوين شبكة VPN الموجود من موقع إلى موقع باستخدام مدير أجهزة الأمان القابل للتكيف (ASDM). وهذا مطلوب في هذه السيناريوهات:

• تم تغيير موفر خدمة الإنترنت (ISP) ويتم إستخدام مجموعة جديدة من نطاق IP العام.

• إعادة تصميم كاملة للشبكة في موقع ما.

• يتم ترحيل الجهاز المستخدم كبوابة VPN في موقع ما إلى جهاز جديد باستخدام عنوان IP عام مختلف.

يفترض هذا المستند أن شبكة VPN من الموقع إلى الموقع تم تكوينها بالفعل بشكل صحيح وتعمل بشكل صحيح. يزود هذا وثيقة ال steps أن يتبع in order to غيرت VPN نظير معلومة في ال L2L VPN تشكيل.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من هذا موضوع:

• مثال تكوين VPN من موقع ASA إلى موقع

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• سلسلة أجهزة الأمان المعدلة Cisco 5500 مع إصدار البرنامج 8.2 والإصدارات الأحدث

• مدير أجهزة حلول الأمان المعدلة من Cisco مع الإصدار 6.3 من البرنامج والإصدارات الأحدث

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

معلومات خلفية

تعمل الشبكة الخاصة الظاهرية (VPN) من موقع إلى موقع بشكل جيد بين الحقاصة والبقاصة. بافتراض أن BKASA لديه إعادة تصميم شبكة كاملة وتم تعديل مخطط IP على مستوى ISP، ولكن تبقى جميع تفاصيل الشبكة الفرعية الداخلية كما هي.

يستخدم نموذج التكوين هذا عناوين IP التالية:

• BKASA موجود خارج عنوان IP - 200.200.200.200

• BKASA جديد خارج عنوان IP - 209.165.201.2

ملاحظة: هنا، سيتم تعديل معلومات النظير فقط. نظرا لعدم وجود تغيير آخر في الشبكة الفرعية الداخلية، تظل قوائم الوصول الخاصة بالشفرة كما هي.

تكوين ASDM

يوفر هذا القسم معلومات حول الطرق المحتملة المستخدمة لتغيير معلومات نظير VPN على HKASA باستخدام ASDM.

إنشاء ملف تعريف اتصال جديد

يمكن أن يكون هذا هو الطريقة الأسهل لأنه لا يزعج تكوين VPN الموجود ويمكن أن يخلق ملف تعريف اتصال جديد باستخدام المعلومات الجديدة ذات الصلة بنظير VPN.

1. انتقل إلى التكوين > VPN من موقع إلى موقع > ملفات تعريف الاتصال وانقر فوق إضافة ضمن منطقة ملفات تعريف الاتصال.

   

   يظهر إطار إضافة ملف تعريف اتصال من موقع إلى موقع IPSec.

2. تحت علامة التبويب "أساسي"، قم بتوفير تفاصيل عنوان IP للنظير والمفتاح المشترك مسبقا والشبكات المحمية. استعملت كل ال نفسه معلم بما أن ال VPN موجود، ماعدا النظير معلومة. وانقر فوق OK.

   

3. تحت قائمة متقدمة، انقر فوق إدخال خريطة التشفير. ارجع إلى علامة التبويب الأولوية. هذه الأولوية مساوية للرقم التسلسلي في تكوين CLI المكافئ الخاص بها. عند تعيين رقم أقل من إدخال خريطة التشفير الحالي، يتم تنفيذ ملف التعريف الجديد هذا أولا. كلما زاد رقم الأولوية، كلما قلت القيمة. يستخدم هذا لتغيير ترتيب التسلسل الذي سيتم تنفيذ خريطة تشفير معينة به. انقر على موافق لإكمال إنشاء توصيف توصيل جديد.

   

يؤدي هذا تلقائيا إلى إنشاء مجموعة نفق جديدة مع خريطة تشفير مقترنة. تأكد من إمكانية الوصول إلى BKASA باستخدام عنوان IP الجديد قبل إستخدام ملف تعريف الاتصال الجديد هذا.

تحرير تكوين VPN الموجود

هناك طريقة أخرى لإضافة نظير جديد وهي تعديل التكوين الموجود. لا يمكن تحرير ملف تعريف الاتصال الموجود لمعلومات النظير الجديدة لأنه مرتبط بنظير معين. in order to حررت التشكيل حالي، أنت تحتاج أن ينجز هذا steps:

1. إنشاء مجموعة نفق جديدة

2. تحرير خريطة التشفير الموجودة

إنشاء مجموعة نفق جديدة

انتقل إلى التكوين > VPN من موقع إلى موقع > متقدم > مجموعات النفق وانقر فوق إضافة لإنشاء مجموعة نفق جديدة تحتوي على معلومات نظير VPN الجديدة. حدد حقلي الاسم والمفتاح المشترك مسبقا، ثم انقر على موافق.

ملاحظة: تأكد من تطابق المفتاح المشترك مسبقا مع الطرف الآخر من شبكة VPN.

ملاحظة: في حقل "الاسم"، يجب إدخال عنوان IP فقط للنظير البعيد عندما يكون وضع المصادقة مفاتيح مشتركة مسبقا. يمكن إستخدام أي اسم فقط عندما تكون طريقة المصادقة من خلال الشهادات. يظهر هذا خطأ عندما تتم إضافة اسم في حقل الاسم ويتم مشاركة طريقة المصادقة مسبقا:

تحرير خريطة التشفير الموجودة

يمكن تحرير خريطة التشفير الموجودة لإقران معلومات النظير الجديدة.

أكمل الخطوات التالية:

1. انتقل إلى التكوين > VPN من موقع إلى موقع > متقدم > خرائط التشفير، ثم حدد خريطة التشفير المطلوبة وانقر فوق تحرير.

   

   تظهر نافذة تحرير قاعدة IPSec.

2. تحت علامة التبويب سياسة النفق (أساسي)، في منطقة إعدادات النظير، حدد النظير الجديد في حقل عنوان IP الخاص بالنظير المراد إضافته. بعد ذلك، انقر فوق إضافة.

   

3. حدد عنوان IP للنظير الموجود وانقر فوق إزالة للاحتفاظ بمعلومات النظير الجديدة فقط. وانقر فوق OK.

   

   ملاحظة: بعد تعديل معلومات النظير في خريطة التشفير الحالية، يتم حذف ملف تعريف الاتصال المرتبط بخريطة التشفير هذه فورا في نافذة ASDM.

4. تبقى تفاصيل الشبكات المشفرة كما هي. إذا كنت بحاجة إلى تعديل هذه العناصر، فانتقل إلى علامة التبويب تحديد حركة مرور البيانات.

   

5. انتقل إلى التكوين > VPN من موقع إلى موقع > متقدم > جزء خرائط التشفير لعرض خريطة التشفير المعدلة. ومع ذلك، لا تحدث هذه التغييرات حتى تنقر فوق تطبيق. بعد النقر فوق تطبيق، انتقل إلى التكوين > شبكة VPN من موقع إلى موقع > متقدم > مجموعات النفق للتحقق من وجود مجموعة أنفاق مقترنة أو عدم وجودها. إذا كانت الإجابة نعم، سيتم إنشاء ملف تعريف اتصال مقترن.

   

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

تدعم أداة مترجم الإخراج (للعملاءالمسجلين فقط) بعض أوامر show. استخدم أداة مترجم الإخراج (OIT) لعرض تحليل مُخرَج الأمر show .

• أستخدم هذا الأمر لعرض معلمات اقتران الأمان المحددة لنظير واحد:

  عرض نظير IPsec للتشفير <عنوان IP للنظير>

استكشاف الأخطاء وإصلاحها

أستخدم هذا القسم لاستكشاف أخطاء التكوين وإصلاحها.

تعذر على بادئ IKE العثور على النهج: INTF test_ext، SRC: 172.16.1.103، DST: 10.1.4.251

يعرض هذا الخطأ في رسائل السجل عند محاولة تغيير نظير VPN من مركز VPN إلى ASA.

الحل:

قد يكون هذا نتيجة لخطوات التكوين غير الصحيحة التي تم اتباعها أثناء الترحيل. تأكد من إزالة ربط التشفير بالواجهة قبل إضافة نظير جديد. تأكدت أيضا، أن أنت استعملت العنوان من النظير في النفق-مجموعة، غير أن ليس الإسم.

معلومات ذات صلة

• موقع إلى موقع (L2L) VPN مع ASA
• أكثر مشاكل الشبكات الخاصة الظاهرية (VPN) شيوعا
• صفحة الدعم الفني ل ASA
• الدعم التقني والمستندات - Cisco Systems