Cyfyngiadau Cloud VPN na allwch eu haddasu: oes IKE a NAT y peer

Rhowch oes cam 1 o 24 awr i'r ddyfais bell ac mae twnnel Cloud VPN yn aros i lawr, hyd yn oed pan fo popeth ar ochr Google wedi'i ffurfweddu'n iawn. Mae'r peer yn cynnig gwerth na fydd y responder yn ei dderbyn, felly naill ai mae'r trafodaeth yn methu'n llwyr neu'n ailgychwyn yn ddiderfyn. Mae Cloud VPN yn capio cam 1 ar 36,000 eiliad, sef deg awr, ac nid yw'r cap hwnnw'n osodiad y gallwch ei godi. Mae'r newid yn perthyn i'r ddyfais bell.

Mae'r peer yn gofyn, mae'r responder yn penderfynu

Mae IKE yn ymarferiad paru rhwng dau set o gynigion. Dim ond lle mae'r setiau'n gorgyffwrdd o fewn y ffiniau y mae'r responder yn eu derbyn y mae'r twnnel yn ffurfio, a dyna pam nad yw oes y tu allan i'r amrediad yn cynhyrchu unrhyw dwnnel rhannol o gwbl. Y camgymeriad arferol yw trin ffurfweddiad y peer fel rhestr dymuniadau yn hytrach na chynnig. Mae croestoriad gwag yn gadael y twnnel i lawr, pa mor gywir bynnag yw'r llwybro a'r detholwyr.

Darllenwch gyflwr y twnnel ei hun cyn agor achos, oherwydd mae'r statws manwl fel arfer yn enwi'r cam a fethodd:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Cymharwch yr hyn a ddaw yn ôl â'r set a gefnogir ar gyfer eich math o borth a fersiwn IKE, a chofnodwch y ddau ddetholydd traffig tra byddwch yno. Mae anghytundeb detholydd yn rhoi'r un symptom twnnel i lawr ag anghytundeb algorithm, ac yn wahanol i'r algorithm, eich gwaith chi yw trwsio'r un yma.

36,000 eiliad yw'r nenfwd

Mae cam 1 yn stopio ar 36,000 eiliad. Mae dyfais wedi'i gosod ar 86,400 yn gofyn am rywbeth na fydd y responder byth yn cytuno iddo, ac nid yw ceisio eto yn newid ei meddwl. Trowch y cynnig pell yn ôl o fewn yr amrediad ac mae'r un ffurfweddiad yn sefydlu; yr anghymesuredd yw'r wers gyfan, oherwydd gallwch ostwng eich gwerth eich hun ac ni allwch godi un Google.

Ysgrifennwch y gwerth a ddewiswyd yn y nodiadau dylunio. Fel arall bydd y peiriannydd nesaf yn ailredeg arbrawf yr 24 awr ac yn cyrraedd yr un wal.

Cyhoeddir y set a gefnogir fesul math o borth a fersiwn IKE yn trosolwg Cloud VPN, felly darllenwch yr adran ar gyfer eich topoleg yn hytrach na chanllaw IKE cyffredinol.

Twnnel sy'n cwympo ar amserlen

Mae cam 2 yn ymddwyn yn wahanol: pan nad yw'r ddau ben yn cytuno, mae ailosod allweddi'n dilyn yr egwyl fyrraf. Mae peer sy'n trin yr anghytundeb fel un angheuol yn gollwng y twnnel yn lle hynny, felly gall un anghytundeb edrych fel dau fai digyswllt. Gwyliwch rythm ailosod allweddi, nid yn unig y cysylltiad cyntaf. Mae twnnel sy'n codi ac yna'n cwympo ar guriad rheolaidd yn amlach yn anghytundeb oes nag yn ddiffyg llwybro.

Cydberthnwch y stampiau amser cwympo hynny â logiau'r peer ei hun cyn golygu unrhyw beth, oherwydd gall newid detholydd neu lwybr efelychu'r un rythm. Os yw'r curiad yn cyfateb i amserydd cam 2, mae'r achos wedi'i ddarganfod heb gyffwrdd â chynnig.

Daw'r setiau o'r math o borth

Nid yw setiau cipher ac integriti yn broffil fesul twnnel rydych yn ei olygu fel y mae strongSwan yn caniatáu. Rydych yn eu dewis yn ôl math o borth a fersiwn IKE, ac mae chwilio am broffil nad yw'n bodoli yn gwastraffu prynhawn.

Mae hen ddyfais nad yw'n cynnig dim o fewn y set a gefnogir yn gadael dau lwybr gonest: disodli'r ddyfais, neu derfynu ar borth meddalwedd rydych yn ei reoli a llwybro i mewn i'r VPC oddi yno. Unrhyw beth arall yw gwaith o amgylch sy'n methu'r adolygiad nesaf.

Un cyfeiriad allanol fesul dyfais

Rhaid i gyfeiriad allanol y peer fapio un-i-un i'w gyfeiriad mewnol. Ni all pwll PAT gorlwythog weithio, oherwydd nad yw sawl gwesteiwr y tu ôl i un cyfeiriad cyhoeddus yn rhoi unrhyw ffordd i'r responder eu dad-ddadansoddi. Lle mae'n rhaid i sawl gwesteiwr rannu cyfeiriad, rhaid i'r twnnel derfynu yn rhywle a all eu gwahaniaethu.

Cadwch y cyfeiriad allanol hwnnw'n sefydlog hefyd. Symudwch y ddyfais y tu ôl i NAT gwahanol ac mae'r cysylltiad yn torri er bod pob cynnig yn dal i gyfateb. Mae'n werth nodi pa werthoedd sy'n eiddo Google a pha rai sy'n eich rhai chi: mae oesau, setiau a NAT un-i-un yn sefydlog ar eu hochr nhw, tra bod cynigion, detholwyr, llwybro a blaenoriaethau BGP yn eich rhai chi.