Cylchdroi PSK AWS VPN: pa dwnnel sy'n disgyn, a phryd

Mae'r twnnel yn disgyn yr eiliad y bydd y ddau ben yn anghytuno am yr allwedd a rennir ymlaen llaw, ac mae'n aros i lawr nes bod y ddwy ochr yn cario'r gwerth newydd. Mae'r rhan honno'n ddisgwyliedig: mae AWS yn trin y newid fel ymyrraeth â'r twnnel a ddewiswyd, ac ni fydd y cymar yn gorffen IKE tra bo'r allweddi'n wahanol. Yr hyn sy'n synnu pobl yw'r ail hanner. Nid yw'r twnnel arall yn amsugno'r traffig ar ei ben ei hun oni bai eich bod wedi gwirio y gall ei gario. Cylchdrowch yn y drefn hon ac mae'r ymyrraeth yn aros o fewn un twnnel.

Beth sy'n digwydd mewn gwirionedd pan fydd yr allwedd yn newid

Mae ModifyVpnTunnelOptions yn ailysgrifennu'r opsiynau ar gyfer un twnnel, a nodir gan ei gyfeiriad IP allanol. Mae'r twnnel yn cael ei chwalu a'i ailadeiladu, felly mae IKE ac IPsec yn trafod o'r dechrau gyda'r allwedd newydd. Mae AWS yn nodi y gall yr ymyrraeth bara sawl munud, sy'n ddigon hir i brotocol llwybro sylwi arni. Nid yw'r twnnel arall yn yr un cysylltiad yn cael ei gyffwrdd gan yr alwad.

Mae ail effaith sy'n werth ei gwybod cyn i chi anfon unrhyw beth. Mae'r weithred addasu yn cymryd y set gyflawn o opsiynau twnnel, felly mae maes rydych chi'n ei adael allan yn cael ei ailysgrifennu gyda'i werth diofyn. Os ydych chi wedi addasu hyd oes cyfnod 1 neu gyfnod 2, neu'r gosodiadau canfod cymar marw, trowch y gwerthoedd presennol i mewn yn yr un cais neu cynlluniwch eu hadfer wedyn.

Darllenwch y gwerthoedd presennol yn gyntaf, yna newidiwch un maes. Y drefn honno yw holl ddisgyblaeth y dasg hon.

Parwch dwnnel AWS â'r cymar cywir yn gyntaf

Mae'r consol yn labelu twneli yn ôl trefn, ac nid yw eich dyfais yn defnyddio'r label hwnnw. Nodwch y twnnel gan ei gyfeiriad IP allanol a'i baru â'r stanza cymar ar y porth cwsmer. Nid yw twnnel 1 mewn cyfluniad lleol yn dystiolaeth eich bod yn golygu'r twnnel y mae AWS yn ei alw'n dwnnel 1.

Dechreuwch o'r cysylltiad ei hun, sy'n rhestru'r ddau dwnnel a'r allwedd y mae pob un yn ei chadw ar hyn o bryd:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Yr allwedd sy'n dod yn ôl yw'r un sy'n cael ei defnyddio nawr. Cymharwch hi â chyfluniad y cymar cyn i chi newid unrhyw beth, oherwydd mae anghysondeb sy'n bodoli eisoes yn esbonio twnnel nad oedd byth yn sefydlog.

Gadewch i'r twnnel arall gario'r traffig yn gyntaf

Nid yw dau dwnnel mewn un cysylltiad yn profi bod eich dyfais wedi cyflunio'r ddau, bod y ddau yn hysbysebu'r rhagddodiadau sydd eu hangen arnoch, na bod traffig yn symud rhyngddynt. Gwiriwch drafodaeth y twnnel arall, ei lwybrau a llif cymhwysiad go iawn yn y ddwy ffordd. Gyda BGP, mae cyfannedd byw yn dystiolaeth ddefnyddiol ond nid yw'r un peth â chadarnhau'r rhagddodiadau. Gyda llwybro statig, cadarnhewch sut mae'r porth yn dewis y llwybr a beth mae'n ei wneud pan fydd y llwybr a ffefrir yn diflannu.

Os na all yr arall gario'r llwyth gwaith, trefnwch yr ymyrraeth neu atgyweiriwch y twnnel arall cyn i chi gyffwrdd â'r allwedd. Nid yw golau statws ar dudalen consol yn addewid o wasanaeth di-dor.

Cylchdrowch un twnnel, yna gwiriwch â thraffig go iawn

Gyda'r llwybr arall wedi'i brofi, mae'r dilyniant yn fyr. Cofnodwch gyfeiriad y twnnel, ei gymar a'r gosodiadau nad ydynt yn gyfrinachol, a chadwch lwybr rheoli i'r porth nad yw'n dibynnu ar y twnnel rydych chi ar fin ei dorri.

1. Diweddarwch gymar y porth cwsmer ar gyfer y cyfeiriad allanol a ddewiswyd, neu baratowch y newid fel ei fod yn digwydd eiliadau ar ôl yr alwad API.
2. Anfonwch yr alwad addasu gyda'r allwedd newydd ynghyd â'r hyd oes a'r gwerthoedd DPD presennol.
3. Arhoswch i IKE ac IPsec ddod yn ôl, yna cadarnhewch y llwybrau a'r rhagddodiadau gofynnol.
4. Gwthiwch lif cymhwysiad cynrychioliadol drwy'r twnnel hwnnw a gwyliwch y ddwy ffordd.

Mae'r twnnel yn anfuddiol tra bo'r pennau'n anghytuno a thra bo AWS yn cymhwyso'r addasiad, felly rhaid i'r diweddariad cymar ddilyn ar unwaith yn hytrach nag ar ôl cinio. Dim ond pan fydd y twnnel newidiedig yn cario traffig go iawn y dylech ailadrodd y weithdrefn ar y llall.

Stopiwch os yw adferiad neu lwybro yn ansicr o hyd ar ôl y twnnel cyntaf. Mae dau dwnnel hanner-gweithio yn waeth nag un rydych chi'n gwybod sy'n gweithio.

Pan fydd adferiad yn stelcian, darllenwch ochr IKE

Mae twnnel sy'n aros i lawr ar ôl i'r ddau ben ddal yr allwedd newydd fel arfer yn anghysondeb polisi a ddatgelwyd gan y cylchdroi yn hytrach na'i greu. Rhaid i'r cynigion, yr hunaniaeth y mae'r cymar yn ei hanfon a'r detholwyr traffig i gyd gytuno ag ochr AWS, a gall gwerth a oroesodd dwnnel sefydledig gael ei wrthod o hyd yn ystod trafodaeth newydd. Darllenwch statws y drafodaeth a'r neges sydd ynghlwm wrthi cyn i chi newid yr allwedd eildro.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Os oes rhaid dad-wneud y newid, peidiwch ag adfer yr hen allwedd dim ond am ei fod wedi gweithio o'r blaen. Triniwch allwedd gyfaddawd fel un gyfaddawd a thrwsiwch y drafodaeth yn lle hynny. Gorffennwch gyda'r ddau dwnnel wedi'u gwirio a'r rhestr gyfrinachau wedi'i diweddaru fel bod pob cymar yn cofnodi pa werth y mae'n ei ddal, a chadwch ddogfennaeth opsiynau twnnel AWS wrth ymyl y runbook.