Όρια του Cloud VPN που δεν ρυθμίζονται: διάρκεια IKE και NAT του peer

Δώστε στην απομακρυσμένη συσκευή διάρκεια φάσης 1 24 ωρών και η σήραγγα Cloud VPN μένει κάτω, ακόμη και όταν όλα στην πλευρά της Google είναι σωστά ρυθμισμένα. Ο peer προτείνει μια τιμή που ο responder δεν θα δεχτεί, οπότε η διαπραγμάτευση είτε αποτυγχάνει εντελώς είτε επανεκκινείται ατέλειωτα. Το Cloud VPN περιορίζει τη φάση 1 στα 36,000 δευτερόλεπτα, δηλαδή δέκα ώρες, και αυτό το όριο δεν είναι ρύθμιση που μπορείτε να ανεβάσετε. Η αλλαγή ανήκει στην απομακρυσμένη συσκευή.

Ο peer ρωτά, ο responder αποφασίζει

Το IKE είναι άσκηση αντιστοίχισης ανάμεσα σε δύο σύνολα προτάσεων. Η σήραγγα σχηματίζεται μόνο όπου τα σύνολα επικαλύπτονται μέσα στα όρια που δέχεται ο responder, γι' αυτό μια διάρκεια εκτός εύρους δεν παράγει καθόλου μερική σήραγγα. Το συνηθισμένο λάθος είναι να αντιμετωπίζετε τη ρύθμιση του peer ως λίστα επιθυμιών και όχι ως πρόταση. Μια κενή τομή αφήνει τη σήραγγα κάτω, όσο σωστή κι αν είναι η δρομολόγηση και οι επιλογείς.

Διαβάστε την κατάσταση της ίδιας της σήραγγας πριν ανοίξετε υπόθεση, γιατί η λεπτομερής κατάσταση συνήθως ονομάζει το στάδιο που απέτυχε:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Συγκρίνετε αυτό που επιστρέφει με το υποστηριζόμενο σύνολο για τον τύπο πύλης και την έκδοση IKE σας και καταγράψτε και τους δύο επιλογείς κίνησης όσο είστε εκεί. Μια αναντιστοιχία επιλογέα δίνει το ίδιο σύμπτωμα σήραγγας κάτω όπως μια αναντιστοιχία αλγορίθμου, και σε αντίθεση με τον αλγόριθμο αυτή είναι δική σας δουλειά να τη διορθώσετε.

36,000 δευτερόλεπτα είναι το ανώτατο όριο

Η φάση 1 σταματά στα 36,000 δευτερόλεπτα. Μια συσκευή ρυθμισμένη στα 86,400 ζητά κάτι που ο responder δεν θα δεχτεί ποτέ, και η επανάληψη δεν αλλάζει τη γνώμη του. Γυρίστε την απομακρυσμένη πρόταση πίσω στο εύρος και η ίδια ρύθμιση εγκαθίσταται· η ασυμμετρία είναι όλο το μάθημα, αφού μπορείτε να μειώσετε τη δική σας τιμή και δεν μπορείτε να ανεβάσετε της Google.

Γράψτε την επιλεγμένη τιμή στις σημειώσεις σχεδιασμού. Αλλιώς ο επόμενος μηχανικός επαναλαμβάνει το πείραμα των 24 ωρών και φτάνει στον ίδιο τοίχο.

Το υποστηριζόμενο σύνολο δημοσιεύεται ανά τύπο πύλης και έκδοση IKE στην επισκόπηση του Cloud VPN, οπότε διαβάστε το τμήμα για την τοπολογία σας αντί για έναν γενικό οδηγό IKE.

Σήραγγα που πέφτει με πρόγραμμα

Η φάση 2 συμπεριφέρεται διαφορετικά: όταν τα δύο άκρα διαφωνούν, η ανανέωση κλειδιών ακολουθεί το μικρότερο διάστημα. Ένας peer που θεωρεί τη διαφωνία μοιραία ρίχνει τη σήραγγα, οπότε μια διαφωνία μπορεί να μοιάζει με δύο άσχετες βλάβες. Προσέξτε τον ρυθμό ανανέωσης κλειδιών, όχι μόνο την πρώτη σύνδεση. Μια σήραγγα που σηκώνεται και μετά πέφτει σε τακτικό ρυθμό είναι συχνότερα αναντιστοιχία διάρκειας παρά δρομολόγησης.

Συσχετίστε αυτές τις χρονικές σημάνσεις πτώσης με τα δικά του αρχεία του peer πριν αλλάξετε οτιδήποτε, γιατί μια αλλαγή επιλογέα ή διαδρομής μπορεί να μιμηθεί τον ίδιο ρυθμό. Αν ο ρυθμός ταιριάζει με το χρονόμετρο της φάσης 2, η αιτία βρέθηκε χωρίς να αγγίξετε πρόταση.

Οι ομάδες προέρχονται από τον τύπο πύλης

Οι ομάδες κρυπτογράφησης και ακεραιότητας δεν είναι προφίλ ανά σήραγγα που επεξεργάζεστε όπως σας επιτρέπει το strongSwan. Τις επιλέγετε κατά τύπο πύλης και έκδοση IKE, και το κυνήγι προφίλ που δεν υπάρχει σπαταλά ένα απόγευμα.

Μια παλιά συσκευή που δεν προσφέρει τίποτα εντός του υποστηριζόμενου συνόλου αφήνει δύο έντιμους δρόμους: αντικαταστήστε τη συσκευή ή τερματίστε σε πύλη λογισμικού που ελέγχετε και δρομολογήστε από εκεί στο VPC. Οτιδήποτε άλλο είναι παράκαμψη που αποτυγχάνει στην επόμενη αναθεώρηση.

Μία εξωτερική διεύθυνση ανά συσκευή

Η εξωτερική διεύθυνση του peer πρέπει να αντιστοιχίζεται ένα προς ένα με την εσωτερική του. Μια υπερφορτωμένη δεξαμενή PAT δεν μπορεί να δουλέψει, γιατί πολλοί κεντρικοί υπολογιστές πίσω από μία δημόσια διεύθυνση δεν δίνουν στον responder τρόπο να τους διαχωρίσει. Όπου πολλοί κεντρικοί υπολογιστές πρέπει να μοιράζονται μια διεύθυνση, η σήραγγα πρέπει να τελειώνει κάπου που μπορεί να τους ξεχωρίσει.

Κρατήστε και αυτή την εξωτερική διεύθυνση σταθερή. Μετακινήστε τη συσκευή πίσω από άλλο NAT και ο συσχετισμός σπάει, παρόλο που κάθε πρόταση εξακολουθεί να ταιριάζει. Αξίζει να γράψετε ποιες τιμές είναι της Google και ποιες δικές σας: οι διάρκειες, οι ομάδες και το NAT ένα προς ένα είναι σταθερά στη δική τους πλευρά, ενώ οι προτάσεις, οι επιλογείς, η δρομολόγηση και οι προτεραιότητες BGP είναι δικές σας.