Com fer que AWS iniciï un túnel Site-to-Site VPN
L'acció d'inici i l'acció de temps d'espera DPD responen preguntes diferents. Configureu la que fa que AWS iniciï i després comproveu l'adreça de l'equal i la ruta de l'aplicació.
Per defecte, una VPN Site-to-Site d'AWS espera que el customer gateway iniciï la negociació. Aquest defecte és un paràmetre, no una llei, i el paràmetre es diu Startup action. Abans d'utilitzar-lo, separeu dues preguntes que es confonen constantment: qui estableix el túnel i si els paquets que us importen tenen una ruta a través d'ell. Només la primera viu a les opcions del túnel.
Separeu l'acció d'inici de l'acció de temps d'espera DPD
Dues opcions per túnel governen dos esdeveniments diferents, i configurar-ne una no diu res de l'altra.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Si AWS ha d'aixecar un túnel nou o modificat, trieu start. Si AWS també ha de reiniciar la negociació després d'un temps d'espera DPD, configureu restart per a aquest esdeveniment per separat. Cap de les dues opcions no és una política de reintents de l'aplicació, i cap no és un interval de canvi de clau: el DPD comprova si l'equal és viu, mentre que el canvi de clau substitueix les security associations d'un túnel actiu.
Una aplicació que expira mentre el túnel encara es reporta com a up té un problema de camí de dades. Escurçar el temporitzador DPD no ho arreglarà i pot afegir agitació que després haureu d'explicar.
Comproveu que AWS tingui on enviar la negociació
La iniciació des del costat d'AWS només funciona amb IKEv2, i AWS necessita l'adreça pública del customer gateway per saber on enviar la proposta. El cas que fa més mal és un recurs customer gateway autenticat amb certificat creat sense adreça: la documentació d'AWS descriu crear un recurs customer gateway nou amb l'adreça i després modificar la connexió VPN perquè hi apunti.
Un certificat demostra qui és l'equal. No diu a AWS on és l'equal, i són dos requisits diferents. Per això la solució és un recurs customer gateway nou i no un certificat nou. Canviar el certificat deixa AWS amb la mateixa destinació que falta.
Si el customer gateway és darrere de NAT, AWS també necessita un responder identity configurat, IDr, perquè la identitat de l'equal coincideixi amb el que espera el dispositiu. Confirmeu aquest valor i el camí de tallafoc que admet trànsit IKE abans de culpar l'opció que acabeu de canviar. Triar start no pot fer que un equal inabastable o mal identificat accepti una proposta.
Apliqueu el canvi a un túnel i espereu una interrupció
Una connexió VPN té dos túnels amb opcions independents, així que confirmeu quin editeu per la seva adreça exterior. AWS permet modificar un túnel alhora, i la connectivitat pel túnel seleccionat es pot interrompre durant uns quants minuts.
- Seleccioneu la connexió Site-to-Site VPN i obriu Modify VPN tunnel options.
- Trieu el túnel per l'adreça IP exterior i confirmeu-ne la versió d'IKE i el recurs customer gateway.
- Definiu les accions d'inici i DPD que realment voleu i deseu-ho en una finestra que controleu.
- Confirmeu que el túnel modificat s'estableix i reviseu l'altre túnel i l'encaminament abans del canvi següent.
Hi ha un comportament que mereix atenció abans del manteniment. Amb la iniciació d'AWS activada no hi ha temps d'espera: AWS continua provant fins que el túnel puja, i reinicia quan el customer gateway envia un missatge delete-SA. Si baixeu l'equal deliberadament, AWS continuarà trucant, i els registres de l'equal ho mostraran.
Verifiqueu el camí de l'aplicació, no només l'estat del túnel
Un túnel que es reporta com a up no és el mateix que una petició que funciona. Una funció Lambda connectada a una VPC encara necessita una ruta de subnet cap al prefix del client, regles de security group i network ACL que permetin el trànsit, resolució de noms que retorni l'adreça correcta i un camí de tornada al costat del client.
Proveu una vegada amb una petició real des del context de l'aplicació i després llegiu els flow logs si falla. El trànsit keepalive és una opció legítima quan la iniciació d'AWS està desactivada i un túnel inactiu necessita paquets per mantenir-se, però ha de ser una decisió de monitoratge que pugueu nomenar, no un bucle de ping inexplicat enganxat a una funció.
Trieu primer qui estableix el túnel i després diagnostiqueu la resta de la fallada a la seva pròpia capa. La documentació d'inici d'AWS cobreix els requisits d'adreça, identitat i reintents amb més detall del que fan els consells de la consola.