Hoe om AWS 'n Site-to-Site VPN-tonnel te laat begin
Beginaksie en DPD-timeout-aksie beantwoord verskillende vrae. Stel die een wat AWS laat begin, en kontroleer dan die eweknie-adres en die app se roete.
Standaard wag 'n AWS Site-to-Site VPN dat die customer gateway die onderhandeling begin. Daardie standaard is 'n instelling, nie 'n wet nie, en die instelling heet Startup action. Voordat jy daaraan raak, skei twee vrae wat gedurig vermeng word: wie bou die tonnel op, en of die pakkette waaroor jy gaan, 'n roete daardeur het. Net die eerste een sit in die tonnelopsies.
Skei die beginaksie van die DPD-timeout-aksie
Twee opsies per tonnel beheer twee verskillende gebeure, en die een instel sê niks oor die ander nie.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
As AWS 'n nuwe of gewysigde tonnel moet opbou, kies start. As AWS die onderhandeling ook ná 'n DPD-timeout moet herbegin, stel restart vir daardie gebeurtenis afsonderlik. Nie een van die twee is 'n herprobeerbeleid vir toepassings nie, en nie een is 'n hersluitingsinterval nie: DPD kyk of die eweknie leef, terwyl hersluiting die security associations op 'n lewendige tonnel vervang.
'n Toepassing wat 'n timeout kry terwyl die tonnel nog as op rapporteer, is 'n datapadprobleem. Om die DPD-tydhouer te verkort sal dit nie regmaak nie, en dit kan onrus byvoeg wat jy later moet verduidelik.
Kontroleer dat AWS êrens het om die onderhandeling heen te stuur
Inisiatief van die AWS-kant is slegs IKEv2, en AWS het die publieke adres van die customer gateway nodig om te weet waarheen die voorstel gestuur moet word. 'n Customer gateway-hulpbron met sertifikaatverifikasie wat sonder 'n adres geskep is, is die geval wat byt: AWS se dokumentasie sê jy moet 'n nuwe customer gateway-hulpbron met die adres skep en dan die VPN-verbinding wysig om daarheen te wys.
'n Sertifikaat bewys wie die eweknie is. Dit sê nie vir AWS waar die eweknie is nie, en dit is twee verskillende vereistes. Daarom is die oplossing 'n nuwe customer gateway-hulpbron eerder as 'n nuwe sertifikaat. Om die sertifikaat te ruil laat AWS met dieselfde ontbrekende bestemming.
As die customer gateway agter NAT sit, het AWS ook 'n gekonfigureerde responder identity nodig, IDr, sodat die eweknie se identiteit ooreenstem met wat die toestel verwag. Bevestig daardie waarde en die firewallpad wat IKE-verkeer deurlaat voordat jy die opsie blameer wat jy pas verander het. Om start te kies kan nie 'n onbereikbare of verkeerd geïdentifiseerde eweknie laat instem tot 'n voorstel nie.
Pas die verandering op een tonnel toe en verwag 'n onderbreking
'n VPN-verbinding het twee tonnelle met onafhanklike opsies, so bevestig aan watter een jy werk aan die hand van sy buite-adres. AWS laat toe dat jy een tonnel op 'n slag wysig, en die verbinding oor die gekose tonnel kan 'n paar minute lank onderbreek word.
- Kies die Site-to-Site VPN-verbinding en open Modify VPN tunnel options.
- Kies die tonnel volgens die buite-IP-adres en bevestig die IKE-weergawe en die customer gateway-hulpbron.
- Stel die begin- en DPD-aksies in wat jy werklik wil hê, en stoor dan binne 'n tydvenster wat jy beheer.
- Bevestig dat die gewysigde tonnel opkom, en kontroleer die ander tonnel en die roetering voordat jy die volgende verandering maak.
Een gedrag verdien aandag voor instandhouding. Met AWS-inisiatief aan is daar geen timeout nie: AWS hou aan probeer tot die tonnel opkom, en dit begin weer wanneer die customer gateway 'n delete-SA-boodskap stuur. As jy die eweknie doelbewus aftak, sal AWS aanhou klop, en die eweknie se logs sal dit wys.
Verifieer die toepassingspad, nie net die tonnel se toestand nie
'n Tonnel wat as op rapporteer is nie dieselfde as 'n werkende versoek nie. 'n Lambda-funksie wat aan 'n VPC geheg is, het steeds 'n subnetroete na die klant se prefix nodig, security-group- en network ACL-reëls wat die verkeer toelaat, naamresolusie wat die regte adres teruggee, en 'n terugpad aan die klant se kant.
Toets een keer met 'n werklike versoek uit die toepassing se konteks en lees dan die flow logs as dit misluk. Keepalive-verkeer is 'n geldige opsie wanneer AWS-inisiatief af is en 'n ledige tonnel pakkette nodig het om op te bly, maar dit moet 'n moniteringsbesluit wees wat jy kan benoem, nie 'n onverklaarde ping-lus wat aan 'n funksie vasgemaak is nie.
Kies eers wie die tonnel opbou, en diagnoseer dan die oorblywende fout op sy eie laag. Die AWS-dokumentasie oor inisiatief dek die adres-, identiteits- en herprobeervereistes in meer besonderhede as wat die console-wenke doen.