Πώς να κάνετε το AWS να ξεκινήσει σήραγγα Site-to-Site VPN
Η ενέργεια εκκίνησης και η ενέργεια λήξης χρόνου DPD απαντούν σε διαφορετικές ερωτήσεις. Ρυθμίστε αυτή που κάνει το AWS να ξεκινά και μετά ελέγξτε τη διεύθυνση του ομότιμου και τη διαδρομή της εφαρμογής.
Από προεπιλογή, μια AWS Site-to-Site VPN περιμένει το customer gateway να ξεκινήσει τη διαπραγμάτευση. Αυτή η προεπιλογή είναι ρύθμιση, όχι νόμος, και η ρύθμιση ονομάζεται Startup action. Πριν την πιάσετε, διαχωρίστε δύο ερωτήματα που μπερδεύονται συνεχώς: ποιος στήνει τη σήραγγα και αν τα πακέτα που σας ενδιαφέρουν έχουν διαδρομή μέσα από αυτήν. Μόνο το πρώτο βρίσκεται στις επιλογές της σήραγγας.
Διαχωρίστε την ενέργεια εκκίνησης από την ενέργεια λήξης χρόνου DPD
Δύο επιλογές ανά σήραγγα ελέγχουν δύο διαφορετικά γεγονότα, και το να ορίσετε τη μία δεν λέει τίποτα για την άλλη.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Αν το AWS πρέπει να σηκώσει νέα ή τροποποιημένη σήραγγα, επιλέξτε start. Αν το AWS πρέπει επίσης να επανεκκινήσει τη διαπραγμάτευση μετά από λήξη χρόνου DPD, ρυθμίστε restart για εκείνο το γεγονός ξεχωριστά. Καμία από τις δύο δεν είναι πολιτική επαναλήψεων της εφαρμογής και καμία δεν είναι διάστημα αλλαγής κλειδιού: το DPD ελέγχει αν ο ομότιμος είναι ζωντανός, ενώ η αλλαγή κλειδιού αντικαθιστά τα security associations σε ζωντανή σήραγγα.
Μια εφαρμογή που λήγει ενώ η σήραγγα αναφέρει ακόμη up έχει πρόβλημα στη διαδρομή δεδομένων. Η συντόμευση του χρονομέτρου DPD δεν θα το διορθώσει και μπορεί να προσθέσει αναταραχή που θα πρέπει να εξηγήσετε αργότερα.
Ελέγξτε ότι το AWS έχει πού να στείλει τη διαπραγμάτευση
Η εκκίνηση από την πλευρά του AWS γίνεται μόνο με IKEv2 και το AWS χρειάζεται τη δημόσια διεύθυνση του customer gateway για να ξέρει πού να στείλει την πρόταση. Η περίπτωση που πονάει είναι ένας πόρος customer gateway με έλεγχο ταυτότητας πιστοποιητικού που δημιουργήθηκε χωρίς διεύθυνση: η τεκμηρίωση του AWS περιγράφει δημιουργία νέου πόρου customer gateway με τη διεύθυνση και μετά τροποποίηση της σύνδεσης VPN ώστε να δείχνει σε αυτόν.
Ένα πιστοποιητικό αποδεικνύει ποιος είναι ο ομότιμος. Δεν λέει στο AWS πού είναι ο ομότιμος, και αυτές είναι δύο διαφορετικές απαιτήσεις. Γι' αυτό η λύση είναι νέος πόρος customer gateway και όχι νέο πιστοποιητικό. Η αλλαγή πιστοποιητικού αφήνει το AWS με τον ίδιο προορισμό που λείπει.
Αν το customer gateway βρίσκεται πίσω από NAT, το AWS χρειάζεται επίσης ρυθμισμένο responder identity, IDr, ώστε η ταυτότητα του ομότιμου να ταιριάζει με αυτό που περιμένει η συσκευή. Επιβεβαιώστε αυτή την τιμή και τη διαδρομή του τείχους προστασίας που επιτρέπει κίνηση IKE πριν κατηγορήσετε την επιλογή που μόλις αλλάξατε. Η επιλογή start δεν μπορεί να κάνει έναν μη προσβάσιμο ή λανθασμένα αναγνωρισμένο ομότιμο να δεχτεί μια πρόταση.
Εφαρμόστε την αλλαγή σε μία σήραγγα και περιμένετε διακοπή
Μια σύνδεση VPN έχει δύο σήραγγες με ανεξάρτητες επιλογές, οπότε επιβεβαιώστε ποια επεξεργάζεστε από την εξωτερική της διεύθυνση. Το AWS επιτρέπει τροποποίηση μίας σήραγγας κάθε φορά και η συνδεσιμότητα μέσω της επιλεγμένης σήραγγας μπορεί να διακοπεί για αρκετά λεπτά.
- Επιλέξτε τη σύνδεση Site-to-Site VPN και ανοίξτε το Modify VPN tunnel options.
- Διαλέξτε τη σήραγγα με βάση την εξωτερική διεύθυνση IP και επιβεβαιώστε την έκδοση IKE και τον πόρο customer gateway.
- Ορίστε τις ενέργειες εκκίνησης και DPD που θέλετε πραγματικά και μετά αποθηκεύστε σε ένα παράθυρο που ελέγχετε.
- Επιβεβαιώστε ότι η τροποποιημένη σήραγγα σηκώνεται και ελέγξτε την άλλη σήραγγα και τη δρομολόγηση πριν από την επόμενη αλλαγή.
Μια συμπεριφορά αξίζει προσοχή πριν από τη συντήρηση. Με ενεργή εκκίνηση από το AWS δεν υπάρχει λήξη χρόνου: το AWS συνεχίζει να προσπαθεί μέχρι να σηκωθεί η σήραγγα και ξεκινά ξανά όταν το customer gateway στείλει μήνυμα delete-SA. Αν ρίξετε τον ομότιμο επίτηδες, το AWS θα συνεχίσει να χτυπά και τα αρχεία καταγραφής του ομότιμου θα το δείχνουν.
Επαληθεύστε τη διαδρομή της εφαρμογής, όχι μόνο την κατάσταση της σήραγγας
Σήραγγα που αναφέρει up δεν είναι το ίδιο με αίτημα που λειτουργεί. Μια συνάρτηση Lambda συνδεδεμένη σε VPC χρειάζεται ακόμη διαδρομή subnet προς το πρόθεμα του πελάτη, κανόνες security group και network ACL που επιτρέπουν την κίνηση, επίλυση ονομάτων που επιστρέφει τη σωστή διεύθυνση και διαδρομή επιστροφής στην πλευρά του πελάτη.
Δοκιμάστε μία φορά με πραγματικό αίτημα από το περιβάλλον της εφαρμογής και μετά διαβάστε τα flow logs αν αποτύχει. Η κίνηση keepalive είναι νόμιμη επιλογή όταν η εκκίνηση από το AWS είναι κλειστή και μια αδρανής σήραγγα χρειάζεται πακέτα για να μείνει όρθια, αλλά θα πρέπει να είναι απόφαση παρακολούθησης που μπορείτε να ονομάσετε, όχι ένας ανεξήγητος βρόχος ping κολλημένος σε μια συνάρτηση.
Διαλέξτε πρώτα ποιος στήνει τη σήραγγα και μετά διαγνώστε την υπόλοιπη αποτυχία στο δικό της επίπεδο. Η τεκμηρίωση του AWS για την εκκίνηση καλύπτει τις απαιτήσεις διεύθυνσης, ταυτότητας και επανάληψης με περισσότερη λεπτομέρεια από τις υποδείξεις της κονσόλας.