AWS-i necə Site-to-Site VPN tunelini başladır
Başlama əməliyyatı ilə DPD taymaut əməliyyatı fərqli suallara cavab verir. AWS-in başlatmasını təmin edən əməliyyatı seçin, sonra həmkarın ünvanını və tətbiqin marşrutunu yoxlayın.
Standart olaraq AWS Site-to-Site VPN tuneli customer gateway-in danışıqlara başlamasını gözləyir. Bu standart qanun deyil, bir ayardır və həmin ayar Startup action adlanır. Ona əl atmaqdan əvvəl daim bir-birinə qarışdırılan iki sualı ayırın: tuneli kim qurur və sizi maraqlandıran paketlərin oradan keçən marşrutu varmı. Yalnız birincisi tunel seçimlərindədir.
Başlama əməliyyatını DPD taymaut əməliyyatından ayırın
Hər tunel üçün iki seçim iki fərqli hadisəni idarə edir və birini qurmaq digəri haqqında heç nə demir.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS yeni və ya dəyişdirilmiş tuneli qurmalıdırsa, seçin start. AWS DPD taymautundan sonra danışıqları da yenidən başlatmalıdırsa, həmin hadisə üçün ayrıca restart ayarlayın. Heç bir seçim tətbiq üçün təkrar cəhd siyasəti deyil və heç biri açarın yenilənməsi intervalı deyil: DPD həmkarın sağ olub-olmadığını yoxlayır, açarın yenilənməsi isə canlı tuneldə təhlükəsizlik assosiasiyalarını əvəz edir.
Tunel hələ də işlək görünərkən taymauta düşən tətbiq məlumat yolu problemi ilə üzləşir. DPD taymerini qısaltmaq bunu düzəltməyəcək və sonra izah etməli olacağınız əlavə hay-küy yarada bilər.
AWS-in danışıqları göndərəcəyi ünvanın olduğunu yoxlayın
AWS tərəfindən başlatma yalnız IKEv2 ilə mümkündür və AWS təklifi hara göndərəcəyini bilmək üçün customer gateway-in açıq ünvanına ehtiyac duyur. Sertifikatla təsdiqlənən customer gateway resursu ünvan olmadan yaradıldıqda problem məhz burada yaranır: AWS sənədləşməsi ünvanla yeni customer gateway resursu yaratmağı və sonra VPN bağlantısını ona yönəltmək üçün dəyişməyi tövsiyə edir.
Sertifikat həmkarın kim olduğunu sübut edir. Lakin AWS-ə həmkarın harada olduğunu demir və bunlar fərqli tələblərdir. Buna görə həll yeni sertifikat deyil, yeni customer gateway resursudur. Sertifikatı dəyişmək AWS-i yenə də eyni çatışmayan təyinatla qoyub gedir.
Customer gateway NAT arxasındadırsa, AWS həmçinin konfiqurasiya edilmiş responder identity tələb edir, IDr, belə ki həmkarın kimliyi cihazın gözlədiyi ilə uyğun gəlsin. Yalnız dəyişdiyiniz seçimi günahlandırmadan əvvəl həmin dəyəri və IKE trafikini keçirən firewall yolunu təsdiqləyin. start seçməklə əlçatmaz və ya səhv müəyyən edilmiş həmkarı təklifi qəbul etməyə məcbur etmək mümkün deyil.
Dəyişikliyi bir tunelə tətbiq edin və fasilə gözləyin
VPN bağlantısının müstəqil seçimləri olan iki tuneli var, ona görə hansını redaktə etdiyinizi xarici ünvanı ilə təsdiqləyin. AWS bir anda yalnız bir tuneli dəyişməyə icazə verir və seçilmiş tunel üzərində bağlantı bir neçə dəqiqə kəsilə bilər.
- Site-to-Site VPN bağlantısını seçin və Modify VPN tunnel options bölməsini açın.
- Tuneli xarici IP ünvanına görə seçin və IKE versiyasını və customer gateway resursunu təsdiqləyin.
- Həqiqətən istədiyiniz başlama və DPD əməliyyatlarını qurun, sonra nəzarət etdiyiniz bir pəncərədə yadda saxlayın.
- Dəyişdirilmiş tunelin qurulduğunu təsdiqləyin və növbəti dəyişiklikdən əvvəl digər tuneli və marşrutlaşdırmanı yoxlayın.
Texniki xidmətdən əvvəl bir davranış diqqətə layiqdir. AWS başlatması aktiv olduqda taymaut yoxdur: AWS tunel qalxana qədər cəhd etməyə davam edir və customer gateway delete-SA mesajı göndərdikdə yenidən başladır. Həmkarı qəsdən söndürsəniz, AWS döyməyə davam edəcək və həmkarın jurnalları bunu göstərəcək.
Tunelin vəziyyətini deyil, tətbiqin yolunu yoxlayın
Tunelin işlək görünməsi işləyən sorğu demək deyil. VPC-yə qoşulmuş Lambda funksiyası hələ də müştərinin prefiksinə subnet marşrutu, trafikə icazə verən security group və network ACL qaydaları, düzgün ünvan qaytaran ad həlli və müştəri tərəfində geri dönüş yolutələb edir.
Bir dəfə tətbiqin kontekstindən real sorğu ilə sınaqdan keçirin, uğursuz olarsa flow logları oxuyun. AWS başlatması söndürüldükdə və boş tunelin paketlərlə ayaqda qalması lazım olduqda keepalive trafiki qanuni seçimdir, lakin bu, funksiyaya yapışdırılmış izahsız ping dövrəsi deyil, ad verə bildiyiniz monitorinq qərarı olmalıdır.
Əvvəlcə tuneli kimin qurduğunu seçin, sonra qalan nasazlığı öz qatında diaqnoz edin. AWS başlatma sənədləşməsi ünvan, kimlik və təkrar cəhd tələblərini konsol işarələrindən daha ətraflı əhatə edir.