Ograničenja Cloud VPN-a koja ne možete podesiti: IKE životni vijek i NAT druge strane

Dajte udaljenom uređaju životni vijek faze 1 od 24 sata i tunel Cloud VPN-a ostaje pao, iako je sve na Googleovoj strani ispravno konfigurisano. Druga strana predlaže vrijednost koju odgovarač neće prihvatiti, pa pregovor ili potpuno propada ili se beskonačno ponovo pokreće. Cloud VPN ograničava fazu 1 na 36,000 sekundi, deset sati, a to ograničenje nije postavka koju možete podići. Promjena pripada udaljenom uređaju.

Druga strana pita, odgovarač odlučuje

IKE je vježba usklađivanja između dva skupa prijedloga. Tunel nastaje samo tamo gdje se skupovi preklapaju unutar granica koje odgovarač prihvaća, i zato životni vijek izvan raspona ne stvara nikakav djelimični tunel. Uobičajena greška je tretirati konfiguraciju druge strane kao listu želja, a ne kao prijedlog. Prazan presjek ostavlja tunel palim, koliko god su usmjeravanje i selektori ispravni.

Pročitajte vlastito stanje tunela prije otvaranja slučaja, jer detaljni status obično imenuje fazu koja je propala:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Uporedite ono što se vrati sa podržanim skupom za vaš tip pristupa i verziju IKE-a, i zapišite oba selektora saobraćaja dok ste tamo. Nesklad selektora daje isti simptom palog tunela kao nesklad algoritma, a za razliku od algoritma to je vaše da popravite.

36,000 sekundi je gornja granica

Faza 1 se zaustavlja na 36,000 sekundi. Uređaj podešen na 86,400 traži nešto sa čim se odgovarač nikada neće složiti, a ponovno pokušavanje ne mijenja njegov um. Vratite udaljeni prijedlog unutar raspona i ista konfiguracija se uspostavlja; asimetrija je cijela lekcija, jer svoju vrijednost možete sniziti, a Googleovu ne možete podići.

Zapišite odabranu vrijednost u projektne bilješke. Inače sljedeći inženjer ponovi eksperiment od 24 sata i dođe do istog zida.

Podržani skup se objavljuje po tipu pristupa i verziji IKE-a u pregledu Cloud VPN-a, pa čitajte dio za svoju topologiju, a ne opći IKE vodič.

Tunel koji pada po rasporedu

Faza 2 se ponaša drukčije: kada se dva kraja ne slažu, obnavljanje ključeva prati kraći interval. Druga strana koja nesklad smatra fatalnim umjesto toga obara tunel, pa jedan nesklad može izgledati kao dva nepovezana kvara. Pazite na ritam obnavljanja ključeva, ne samo na prvo povezivanje. Tunel koji se podigne i potom pada u redovnom taktu češće je nesklad životnog vijeka nego defekt usmjeravanja.

Povežite te vremenske oznake pada s vlastitim zapisima druge strane prije bilo kakve izmjene, jer promjena selektora ili rute može oponašati isti ritam. Ako se takt poklapa s tajmerom faze 2, uzrok je nađen bez diranja prijedloga.

Skupovi dolaze iz tipa pristupa

Skupovi šifriranja i integriteta nisu profil po tunelu koji uređujete kako vam strongSwan dopušta. Birate ih po tipu pristupa i verziji IKE-a, a traženje profila koji ne postoji gubi jedno poslijepodne.

Stari uređaj koji ne nudi ništa unutar podržanog skupa ostavlja dva poštena puta: zamijenite uređaj ili završite na softverskom pristupu koji kontrolišete i odatle usmjerite u VPC. Sve ostalo je zaobilazno rješenje koje pada na sljedećem pregledu.

Jedna vanjska adresa po uređaju

Vanjska adresa druge strane mora se preslikavati jedan-na-jedan na njenu unutrašnju adresu. Preopterećen PAT bazen ne može raditi, jer nekoliko domaćina iza jedne javne adrese ne daje odgovaraču način da ih razdvoji. Gdje nekoliko domaćina mora dijeliti adresu, tunel mora završiti negdje što ih može razlikovati.

Držite i tu vanjsku adresu stabilnom. Premjestite uređaj iza drugog NAT-a i veza se prekida iako se svaki prijedlog još uvijek poklapa. Vrijedi zapisati koje su vrijednosti Googleove, a koje vaše: životni vijekovi, skupovi i NAT jedan-na-jedan fiksni su na njihovoj strani, dok su prijedlozi, selektori, usmjeravanje i BGP prioriteti vaši.