Panowie,
mam nastepujacy scenariusz do przeanalizowania:
2 x ASA (5510) w konfiguracji Failover Active/Standby i na nich terminowane VPN'y.
W dokumentacji Cisco online nie znalazlem nic nt. zwiazku Failover'a z kluczami RSA oraz certyfikatami. Chodzi o nastepujace kwestie:
* czy klucze (prywatny i publiczny) z urzadzenia Active sa kopiowane na urzadzenie Standby?? klucz prywatny rowniez???? przy konfiguracji jako exportable de facto mozna wyeksportowac klucz publiczny, ale prywatny?? a moze sam sie przegrywa z konfigiem??
* znalazlem w dokumentacji ze w trybie Failover przegrywane sa info dot. IKE + IPSec, tzn. tunel teoretycznie nie powinien sie polozyc gdy nastapi przelaczenie...
* nie znalazlem informacji dot. certyfikatu(ow) w Failover. Czy rowniez sa przegrywane wraz z konfiguracja??
Niestety nie mam mozliwosci przeprowadzenia testow - brak dwoch 5510... - stad tez licze na Wasze doswiadczenie i pomoc/wskazowki dot. nurtujacych mnie kwestii.
Pozdrawiam,
Krzysiek.
ASA Failover - klucze RSA + certyfikaty dla VPN
Re: ASA Failover - klucze RSA + certyfikaty dla VPN
Witamkrisator pisze:Panowie,
* czy klucze (prywatny i publiczny) z urzadzenia Active sa kopiowane na urzadzenie Standby?? klucz prywatny rowniez???? przy konfiguracji jako exportable de facto mozna wyeksportowac klucz publiczny, ale prywatny?? a moze sam sie przegrywa z konfigiem??
* znalazlem w dokumentacji ze w trybie Failover przegrywane sa info dot. IKE + IPSec, tzn. tunel teoretycznie nie powinien sie polozyc gdy nastapi przelaczenie...
* nie znalazlem informacji dot. certyfikatu(ow) w Failover. Czy rowniez sa przegrywane wraz z konfiguracja??
Pozdrawiam,
Krzysiek.
Z tego co mozna wyczytac na temat failover, nie obsluguje on pki, jedynie pre-shared.
http://www.cisco.com/en/US/products/ps6 ... #wp1092310
Certyfikat jest kopiowany razem z konfigiem - wystarczy podejrzec konfig na tftp.
Klucze nie są kopiowane, jesli są eksportowalne mozna je wyeksportować , oba .prv i .pub będą wyeksportowane. Nastepnie zaimportowac z wiersza polecen (kopiowanie do flasha itp nic nie daje). Nie testowalem czy dziala w ten sposob stateful failover,ale np 2x IOS CA mozna na hspr postawić.
Pozdrawiam
.