Jak přimět AWS, aby zahájila tunel Site-to-Site VPN
Akce při spuštění a akce při vypršení DPD odpovídají na různé otázky. Nastavte tu, která donutí AWS iniciovat, a potom zkontrolujte adresu protějšku a trasu aplikace.
Ve výchozím nastavení AWS Site-to-Site VPN čeká, až customer gateway zahájí vyjednávání. Toto výchozí nastavení je volba, ne zákon, a jmenuje se Startup action. Než po něm sáhnete, oddělte dvě otázky, které se neustále slévají: kdo tunel vytváří a zda pakety, na kterých vám záleží, mají přes něj trasu. Pouze první z nich žije v možnostech tunelu.
Oddělte akci při spuštění od akce při vypršení DPD
Dvě možnosti pro každý tunel řídí dva různé jevy a nastavení jedné nic neříká o druhé.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Pokud má AWS vytvořit nový nebo změněný tunel, zvolte start. Pokud má AWS také po vypršení DPD znovu zahájit vyjednávání, nastavte restart pro tento jev zvlášť. Ani jedna možnost není zásadou opakování pokusů aplikace a ani jedna není intervalem výměny klíčů: DPD kontroluje, zda je protějšek naživu, zatímco výměna klíčů nahrazuje security associations na běžícím tunelu.
Aplikace, která vyprší, zatímco tunel stále hlásí up, má problém s datovou cestou. Zkrácení časovače DPD to neopraví a může přidat zmatek, který budete muset později vysvětlovat.
Zkontrolujte, že AWS má kam vyjednávání poslat
Iniciace ze strany AWS je možná jen s IKEv2 a AWS potřebuje veřejnou adresu customer gateway, aby věděla, kam návrh poslat. Případ, který bolí, je prostředek customer gateway ověřovaný certifikátem vytvořený bez adresy: dokumentace AWS popisuje vytvoření nového prostředku customer gateway s adresou a následnou úpravu připojení VPN, aby na něj ukazovalo.
Certifikát dokazuje, kdo protějšek je. Neříká AWS, kde protějšek je, a to jsou dva různé požadavky. Proto je řešením nový prostředek customer gateway, nikoli nový certifikát. Výměna certifikátu nechá AWS se stejným chybějícím cílem.
Pokud customer gateway stojí za NAT, AWS potřebuje také nakonfigurovaný responder identity, IDr, aby identita protějšku odpovídala tomu, co zařízení očekává. Potvrďte tuto hodnotu i cestu firewallem, která propouští provoz IKE, než obviníte možnost, kterou jste právě změnili. Volba start nemůže přimět nedostupný nebo špatně identifikovaný protějšek přijmout návrh.
Použijte změnu na jeden tunel a očekávejte přerušení
Připojení VPN má dva tunely s nezávislými možnostmi, takže si podle vnější adresy potvrďte, který upravujete. AWS umožňuje měnit jeden tunel najednou a konektivita přes vybraný tunel může být na několik minut přerušena.
- Vyberte připojení Site-to-Site VPN a otevřete Modify VPN tunnel options.
- Vyberte tunel podle vnější IP adresy a potvrďte jeho verzi IKE a prostředek customer gateway.
- Nastavte akce spuštění a DPD, které skutečně chcete, a uložte v okně, které ovládáte.
- Potvrďte, že se upravený tunel naváže, a před další změnou zkontrolujte druhý tunel a směrování.
Jedno chování si před údržbou zaslouží pozornost. Když je iniciace AWS zapnutá, žádné vypršení neexistuje: AWS zkouší dál, dokud tunel nevstane, a znovu iniciuje, když customer gateway pošle zprávu delete-SA. Když protějšek úmyslně vypnete, AWS bude dál klepat a v protějškových záznamech to bude vidět.
Ověřte cestu aplikace, ne jen stav tunelu
Tunel hlásící up není totéž jako fungující požadavek. Funkce Lambda připojená k VPC stále potřebuje subnet trasu k prefixu zákazníka, pravidla security group a network ACL, která provoz povolují, překlad jmen, který vrací správnou adresu, a zpětnou cestu na straně zákazníka.
Otestujte jednou skutečným požadavkem z kontextu aplikace a když selže, čtěte flow logs. Provoz keepalive je legitimní volba, když je iniciace AWS vypnutá a nečinný tunel potřebuje pakety, aby zůstal, ale má to být rozhodnutí o monitorování, které dokážete pojmenovat, ne nevysvětlená ping smyčka přilepená k funkci.
Nejprve zvolte, kdo tunel vytváří, a potom diagnostikujte zbývající selhání na jeho vlastní vrstvě. Dokumentace AWS k iniciaci pokrývá požadavky na adresu, identitu a opakování pokusů podrobněji než nápisy v konzoli.