Ограничения на Cloud VPN, които не можете да настроите: живот на IKE и NAT на партньора

Cloud VPN договаря животи на IKE в фиксирани граници и изисква NAT едно към едно при партньора. Планирайте отдалеченото устройство около това, а не около страната на Google.

Дайте на отдалеченото устройство живот от 24 часа за фаза 1 и тунелът на Cloud VPN остава свален, дори когато всичко от страната на Google е конфигурирано правилно. Партньорът предлага стойност, която ответникът няма да приеме, затова преговорите или се провалят напълно, или се рестартират безкрайно. Cloud VPN ограничава фаза 1 до 36,000 секунди, десет часа, и този таван не е настройка, която можете да вдигнете. Промяната принадлежи на отдалеченото устройство.

Партньорът пита, ответникът решава

IKE е упражнение по съпоставяне между два набора предложения. Тунелът се образува само там, където наборите се припокриват в границите, които ответникът приема, и точно затова живот извън диапазона не създава никакъв частичен тунел. Обичайната грешка е конфигурацията на партньора да се третира като списък с желания, а не като предложение. Празното сечение оставя тунела свален, колкото и правилни да са маршрутизацията и селекторите.

Прочетете собственото състояние на тунела, преди да отворите случай, защото подробният статус обикновено назовава етапа, който се е провалил:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Сравнете върнатото с поддържания набор за вашия тип шлюз и версия на IKE и запишете двата селектора на трафик, докато сте там. Несъответствието на селектор дава същия симптом на свален тунел като несъответствие на алгоритъм и за разлика от алгоритъма това е ваша работа да поправите.

36,000 секунди е таванът

Фаза 1 спира на 36,000 секунди. Устройство, настроено на 86,400, иска нещо, с което ответникът никога няма да се съгласи, и повторните опити не променят решението му. Върнете отдалеченото предложение в диапазона и същата конфигурация се установява; асиметрията е целият урок, защото можете да намалите своята стойност, но не можете да вдигнете тази на Google.

Запишете избраната стойност в бележките за дизайна. Иначе следващият инженер повтаря експеримента с 24 часа и стига до същата стена.

Поддържаният набор се публикува за всеки тип шлюз и версия на IKE в прегледа на Cloud VPN, затова четете раздела за вашата топология, а не общо ръководство за IKE.

Тунел, който пада по график

Фаза 2 се държи различно: когато двата края не са съгласни, преподписването на ключове следва по-краткия интервал. Партньор, който смята несъответствието за фатално, вместо това сваля тунела, така че едно несъответствие може да изглежда като две несвързани повреди. Следете ритъма на преподписване, не само първото свързване. Тунел, който се вдига и после пада на редовен такт, по-често е несъответствие на живота, отколкото дефект в маршрутизацията.

Свържете тези времеви маркери на падане със собствените логове на партньора, преди да променяте каквото и да е, защото промяна на селектор или маршрут може да имитира същия ритъм. Ако тактът съвпада с таймера на фаза 2, причината е намерена, без да се пипа предложение.

Наборите идват от типа шлюз

Наборите за шифроване и цялост не са профил за отделен тунел, който редактирате, както strongSwan ви позволява. Избирате ги по тип шлюз и версия на IKE, а търсенето на профил, който не съществува, прахосва един следобед.

Старо устройство, което не предлага нищо в рамките на поддържания набор, оставя два честни пътя: сменете устройството или завършете на софтуерен шлюз, който контролирате, и оттам маршрутизирайте към VPC. Всичко друго е заобикаляне, което се проваля на следващия преглед.

Един външен адрес на устройство

Външният адрес на партньора трябва да се съпоставя едно към едно с вътрешния му адрес. Претоварен PAT пул не може да работи, защото няколко хоста зад един публичен адрес не дават на ответника начин да ги раздели. Когато няколко хоста трябва да споделят адрес, тунелът трябва да завършва някъде, където могат да ги различат.

Дръжте този външен адрес стабилен. Преместете устройството зад друг NAT и връзката се къса, дори когато всяко предложение все още съвпада. Струва си да запишете кои стойности са на Google и кои са ваши: животите, наборите и NAT едно към едно са фиксирани от тяхна страна, докато предложенията, селекторите, маршрутизацията и приоритетите на BGP са ваши.

Подобни статии