Sut i beri i AWS ddechrau twnnel Site-to-Site VPN
Mae gweithred cychwyn a gweithred terfyn amser DPD yn ateb cwestiynau gwahanol. Gosodwch yr un sy'n gwneud i AWS gychwyn, yna gwiriwch gyfeiriad y partner a llwybr yr ap.
Yn ddiofyn, mae AWS Site-to-Site VPN yn aros i'r customer gateway gychwyn y trafodaeth. Mae'r diofyn hwnnw'n osodiad, nid yn gyfraith, a'r enw ar yr osodiad yw Startup action. Cyn i chi gyrraedd ato, gwahanwch ddau gwestiwn sy'n cael eu cymysgu'n gyson: pwy sy'n sefydlu'r twnnel, ac a oes gan y pecynnau sy'n bwysig i chi lwybr drwyddo. Dim ond y cyntaf sy'n byw yn opsiynau'r twnnel.
Gwahanwch weithred cychwyn oddi wrth weithred terfyn amser DPD
Mae dau opsiwn fesul twnnel yn rheoli dau ddigwyddiad gwahanol, ac nid yw gosod un yn dweud dim am y llall.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Os dylai AWS godi twnnel newydd neu wedi'i newid, dewiswch start. Os dylai AWS hefyd ailgychwyn y trafodaeth ar ôl terfyn amser DPD, ffurfweddwch restart ar gyfer y digwyddiad hwnnw ar wahân. Nid yw'r naill opsiwn yn bolisi ailgynnig ar gyfer yr ap, ac nid yw'r llall yn ysbaid ailgyfnewid allweddi: mae DPD yn gwirio a yw'r partner yn fyw, tra mae ailgyfnewid allweddi yn disodli security associations ar dwnnel byw.
Mae ap sy'n mynd dros derfyn amser tra mae'r twnnel yn dal i adrodd up yn wynebu problem llwybr data. Ni fydd byrhau'r amserydd DPD yn trwsio hynny, a gall ychwanegu aflonyddwch y bydd rhaid i chi ei esbonio'n ddiweddarach.
Gwiriwch fod gan AWS rywle i anfon y trafodaeth
Mae cychwyn o ochr AWS ar gael gyda IKEv2 yn unig, ac mae angen cyfeiriad cyhoeddus y customer gateway ar AWS i wybod ble i anfon y cynnig. Yr achos sy'n brifo yw adnodd customer gateway wedi'i ddilysu â thystysgrif a grewyd heb gyfeiriad: mae dogfennaeth AWS yn disgrifio creu adnodd customer gateway newydd gyda'r cyfeiriad ac yna addasu'r cysylltiad VPN i bwyntio ato.
Mae tystysgrif yn profi pwy yw'r partner. Nid yw'n dweud wrth AWS ble mae'r partner, ac mae'r rhain yn ofynion gwahanol. Dyna pam mai adnodd customer gateway newydd yw'r ateb, nid tystysgrif newydd. Mae newid y dystysgrif yn gadael AWS gyda'r un gyrchfan ar goll.
Os yw'r customer gateway y tu ôl i NAT, mae ar AWS hefyd angen responder identity wedi'i ffurfweddu, IDr, fel bod hunaniaeth y partner yn cyfateb i'r hyn mae'r ddyfais yn ei ddisgwyl. Cadarnhewch y gwerth hwnnw a'r llwybr wal dân sy'n derbyn traffig IKE cyn i chi feio'r opsiwn a newidiwyd gennych. Ni all dewis start wneud i bartner na ellir ei gyrraedd neu sydd wedi'i gam-adnabod dderbyn cynnig.
Gosodwch y newid ar un twnnel a disgwyliwch darfu
Mae gan gysylltiad VPN ddau dwnnel ag opsiynau annibynnol, felly cadarnhewch pa un rydych yn ei olygu drwy ei gyfeiriad allanol. Mae AWS yn caniatáu addasu un twnnel ar y tro, a gall cysylltedd dros y twnnel a ddewiswyd gael ei dorri am rai munudau.
- Dewiswch y cysylltiad Site-to-Site VPN ac agorwch Modify VPN tunnel options.
- Dewiswch y twnnel yn ôl y cyfeiriad IP allanol a chadarnhewch ei fersiwn IKE a'r adnodd customer gateway.
- Gosodwch y gweithredoedd cychwyn a DPD rydych eu heisiau mewn gwirionedd, yna cadwch mewn ffenestr rydych yn ei rheoli.
- Cadarnhewch fod y twnnel a addaswyd yn sefydlu, a gwiriwch y twnnel arall a'r llwybro cyn y newid nesaf.
Mae un ymddygiad yn haeddu sylw cyn cynnal a chadw. Gyda chychwyn AWS wedi'i alluogi nid oes terfyn amser: mae AWS yn dal i geisio nes bod y twnnel yn codi, ac mae'n ailgychwyn pan fydd y customer gateway yn anfon neges delete-SA. Os byddwch yn diffodd y partner yn fwriadol, bydd AWS yn dal i guro, a bydd logiau'r partner yn dangos hynny.
Gwiriwch lwybr yr ap, nid cyflwr y twnnel yn unig
Nid yw twnnel sy'n adrodd up yr un peth â chais sy'n gweithio. Mae angen llwybr subnet i ragddodiad y cwsmer ar ffwythiant Lambda sy'n gysylltiedig â VPC o hyd, ynghyd â rheolau security group a network ACL sy'n caniatáu'r traffig, datrysiad enwau sy'n dychwelyd y cyfeiriad cywir, a llwybr dychwelyd ar ochr y cwsmer.
Profwch unwaith gyda chais go iawn o gyd-destun yr ap, yna darllenwch y flow logs os yw'n methu. Mae traffig keepalive yn opsiwn dilys pan fydd cychwyn AWS i ffwrdd ac mae twnnel segur angen pecynnau i aros i fyny, ond dylai fod yn benderfyniad monitro y gallwch ei enwi, nid yn ddolen ping heb esboniad wedi'i bolltio ar ffwythiant.
Dewiswch pwy sy'n sefydlu'r twnnel yn gyntaf, yna dadansoddwch y methiant sy'n weddill ar ei haen ei hun. Mae dogfennaeth cychwyn AWS yn cynnwys gofynion cyfeiriad, hunaniaeth ac ailgynnig yn fwy manwl na'r awgrymiadau yn y consol.