حدود Cloud VPN التي لا يمكن ضبطها: عمر IKE و NAT النظير

امنح الجهاز البعيد عمرًا للطور 1 قدره 24 ساعة وسيبقى نفق Cloud VPN معطّلًا، حتى لو كان كل شيء على جانب Google مضبوطًا بشكل صحيح. فالنظير يقترح قيمة لن يقبلها المستجيب، لذا إما أن تفشل المفاوضة تمامًا أو أن تعيد البدء بلا نهاية. يحدّ Cloud VPN الطور 1 عند 36,000 ثانية، أي عشر ساعات، وهذا السقف ليس إعدادًا يمكنك رفعه. التغيير مكانه الجهاز البعيد.

النظير يسأل، والمستجيب يقرّر

IKE تمرين مطابقة بين مجموعتَي اقتراحات. لا يتشكّل النفق إلا حيث تتقاطع المجموعتان داخل الحدود التي يقبلها المستجيب، ولهذا فإن عمرًا خارج النطاق لا يُنتج نفقًا جزئيًا على الإطلاق. الخطأ المعتاد هو التعامل مع إعداد النظير كقائمة أمنيات لا كاقتراح. التقاطع الفارغ يُبقي النفق معطّلًا مهما كان التوجيه والمحدّدات صحيحة.

اقرأ حالة النفق نفسه قبل فتح تذكرة، لأن الحالة التفصيلية تسمّي عادةً المرحلة التي فشلت:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

قارن ما يعود مع المجموعة المدعومة لنوع بوابتك وإصدار IKE، وسجّل محدّدَي حركة المرور أثناء وجودك هناك. اختلاف المحدّد يعطي العرض نفسه، نفقًا معطّلًا، كاختلاف الخوارزمية، وبخلاف الخوارزمية فإن هذا الاختلاف من مسؤوليتك أن تصلحه.

36,000 ثانية هي السقف

يتوقف الطور 1 عند 36,000 ثانية. الجهاز المضبوط على 86,400 يطلب شيئًا لن يوافق عليه المستجيب أبدًا، وإعادة المحاولة لا تغيّر رأيه. أعد اقتراح الجهاز البعيد إلى داخل النطاق وسيُقام الإعداد نفسه؛ هذا التباين هو الدرس كله، لأنك تستطيع خفض قيمتك ولا تستطيع رفع قيمة Google.

اكتب القيمة المختارة في ملاحظات التصميم. وإلا فإن المهندس التالي سيعيد تجربة الـ 24 ساعة ويصل إلى الجدار نفسه.

تُنشر المجموعة المدعومة لكل نوع بوابة وإصدار IKE في نظرة عامة على Cloud VPN، فاقرأ القسم الخاص بطوبولوجياك بدلًا من دليل IKE عام.

نفق يسقط وفق جدول

يتصرف الطور 2 بشكل مختلف: عندما يختلف الطرفان، تتبع إعادة توليد المفاتيح الفاصل الأقصر. أما النظير الذي يعتبر الاختلاف قاتلًا فيُسقط النفق بدلًا من ذلك، لذا قد يبدو اختلاف واحد كعطلين غير مترابطين. راقب إيقاع إعادة توليد المفاتيح، لا أول اتصال فقط. النفق الذي يقوم ثم يسقط على وتيرة منتظمة يكون في الغالب اختلاف عمر لا عيب توجيه.

اربط طوابع وقت السقوط تلك بسجلات النظير نفسه قبل تعديل أي شيء، لأن تغيير محدّد أو مسار قد يحاكي الإيقاع نفسه. إذا طابق الإيقاع مؤقّت الطور 2، فقد وُجد السبب دون لمس أي اقتراح.

المجموعات تأتي من نوع البوابة

مجموعات التشفير والسلامة ليست ملفًا تعريفًا لكل نفق تعدّله كما يسمح لك strongSwan. تختارها حسب نوع البوابة وإصدار IKE، والبحث عن ملف تعريف غير موجود يهدر بعد ظهر كامل.

الجهاز القديم الذي لا يقدّم شيئًا داخل المجموعة المدعومة يترك مسارين صادقين: استبدال الجهاز، أو الإنهاء على بوابة برمجية تتحكم بها والتوجيه إلى VPC من هناك. أي شيء آخر هو حل ملتوٍ يفشل في المراجعة التالية.

عنوان خارجي واحد لكل جهاز

يجب أن يُقابل العنوان الخارجي للنظير عنوانه الداخلي واحدًا لواحد. لا يمكن أن يعمل تجمّع PAT المفرط التحميل، لأن عدة مضيفين خلف عنوان عام واحد لا يعطون المستجيب أي وسيلة للفصل بينهم. وحيث يتعيّن على عدة مضيفين مشاركة عنوان، يجب أن ينتهي النفق في مكان يستطيع التمييز بينهم.

أبقِ ذلك العنوان الخارجي مستقرًا أيضًا. انقل الجهاز خلف NAT مختلف وستنكسر الرابطة رغم أن كل اقتراح ما زال مطابقًا. من المفيد أن تكتب أي القيم لـ Google وأيها لك: الأعمار والمجموعات و NAT واحد لواحد ثابتة عندهم، بينما الاقتراحات والمحدّدات والتوجيه وأولويات BGP لك.