كيف تجعل AWS تبدأ نفق Site-to-Site VPN
إجراء البدء وإجراء مهلة DPD يجيبان عن سؤالين مختلفين. اضبط الإجراء الذي يجعل AWS تبادر، ثم تحقق من عنوان النظير ومن مسار التطبيق.
افتراضيًا، ينتظر نفق AWS Site-to-Site VPN أن يبدأ customer gateway التفاوض. هذا الافتراضي إعداد وليس قانونًا، واسم الإعداد هو Startup action. قبل أن تلجأ إليه، افصل بين سؤالين يختلطان دائمًا: من ينشئ النفق، وهل للحزم التي تهمك مسار يمر عبره. السؤال الأول وحده هو ما يوجد في خيارات النفق.
افصل إجراء البدء عن إجراء مهلة DPD
خياران لكل نفق يحكمان حدثين مختلفين، وضبط أحدهما لا يقول شيئًا عن الآخر.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
إذا كان على AWS إنشاء نفق جديد أو معدَّل، فاختر start. وإذا كان على AWS أيضًا إعادة بدء التفاوض بعد مهلة DPD، فاضبط restart لذلك الحدث بشكل منفصل. ليس أي من الخيارين سياسة إعادة محاولة للتطبيقات، وليس أي منهما فاصل إعادة مفتاح: يتحقق DPD من أن النظير حي، بينما تستبدل إعادة المفتاح ارتباطات الأمان على نفق قائم.
التطبيق الذي تنتهي مهلته بينما لا يزال النفق يعلن أنه قائم يعاني مشكلة في مسار البيانات. تقصير مؤقت DPD لن يصلح ذلك، وقد يضيف اضطرابًا عليك تفسيره لاحقًا.
تأكد من أن AWS لديها جهة تُرسل إليها التفاوض
المبادرة من جانب AWS تعمل مع IKEv2 فقط، وتحتاج AWS إلى العنوان العام لـ customer gateway لتعرف أين ترسل الاقتراح. الحالة التي تسبب المشكلة هي مورد customer gateway موثَّق بشهادة أُنشئ دون عنوان: توثّق AWS إنشاء مورد customer gateway جديد بالعنوان ثم تعديل اتصال VPN ليشير إليه.
الشهادة تثبت هوية النظير. لكنها لا تخبر AWS أين يوجد النظير، وهذان مطلبان مختلفان. لهذا يكون الحل مورد customer gateway جديدًا وليس شهادة جديدة. استبدال الشهادة يترك AWS بالوجهة المفقودة نفسها.
إذا كان customer gateway خلف NAT، تحتاج AWS أيضًا إلى responder identity مُهيأة، IDr، حتى تطابق هوية النظير ما يتوقعه الجهاز. تحقق من تلك القيمة ومن مسار جدار الحماية الذي يسمح بمرور حركة IKE قبل أن تلوم الخيار الذي غيّرته للتو. اختيار start لا يمكن أن يجعل نظيرًا غير قابل للوصول أو مُعرَّفًا خطأ يقبل اقتراحًا.
طبّق التغيير على نفق واحد وتوقّع انقطاعًا
لاتصال VPN نفقان بخيارات مستقلة، لذا تأكد من النفق الذي تعدّله عبر عنوانه الخارجي. تسمح AWS بتعديل نفق واحد في كل مرة، وقد تنقطع الاتصالية عبر النفق المحدد لعدة دقائق.
- حدّد اتصال Site-to-Site VPN وافتح Modify VPN tunnel options.
- اختر النفق حسب عنوان IP الخارجي وتحقق من إصدار IKE ومن مورد customer gateway.
- اضبط إجراءي البدء وDPD اللذين تريدهما فعلًا، ثم احفظ خلال نافذة تتحكم فيها.
- تأكد من قيام النفق المعدَّل، وافحص النفق الآخر والتوجيه قبل التغيير التالي.
هناك سلوك واحد يستحق الانتباه قبل الصيانة. عند تمكين مبادرة AWS لا توجد مهلة: تستمر AWS في المحاولة حتى يقوم النفق، وتعيد المبادرة عندما يرسل customer gateway رسالة حذف SA. إذا أوقفت النظير عمدًا، فستظل AWS تطرق، وسيُظهر سجل النظير ذلك.
تحقق من مسار التطبيق، لا من حالة النفق فقط
النفق الذي يعلن أنه قائم ليس كطلب يعمل. دالة Lambda الموصولة بـ VPC تحتاج مع ذلك إلى مسار subnet إلى بادئة العميل، وإلى قواعد security group وnetwork ACL تسمح بالحركة، وإلى تحليل أسماء يعيد العنوان الصحيح، وإلى مسار عودة على جانب العميل.
اختبر مرة واحدة بطلب حقيقي من سياق التطبيق، ثم اقرأ سجلات التدفق إذا فشل. حركة Keepalive خيار مشروع عندما تكون مبادرة AWS متوقفة ويحتاج نفق خامل إلى حزم ليبقى قائمًا، لكنه يجب أن يكون قرار مراقبة تستطيع تسميته، لا حلقة ping غير مفسّرة ملصقة بوظيفة.
اختر أولًا من ينشئ النفق، ثم شخّص الفشل المتبقي في طبقته الخاصة. توثيق مبادرة AWS يغطي متطلبات العنوان والهوية وإعادة المحاولة بتفصيل أكبر من تلميحات وحدة التحكم.