Περιστροφή PSK σε AWS VPN: ποια σήραγγα πέφτει και πότε

Η σήραγγα πέφτει τη στιγμή που τα δύο άκρα διαφωνούν για το προκοινόχρηστο κλειδί και μένει κάτω μέχρι να φέρουν και οι δύο πλευρές τη νέα τιμή. Αυτό το μέρος είναι αναμενόμενο: το AWS αντιμετωπίζει την αλλαγή ως διακοπή της επιλεγμένης σήραγγας και ο ομότιμος δεν θα ολοκληρώσει το IKE όσο τα κλειδιά διαφέρουν. Αυτό που εκπλήσσει τους ανθρώπους είναι το δεύτερο μισό. Η άλλη σήραγγα δεν αναλαμβάνει την κίνηση από μόνη της, εκτός αν έχετε ελέγξει ότι μπορεί να τη μεταφέρει. Περιστρέψτε με αυτή τη σειρά και η διακοπή μένει μέσα σε μία σήραγγα.

Τι συμβαίνει πραγματικά όταν αλλάζει το κλειδί

Το ModifyVpnTunnelOptions ξαναγράφει τις επιλογές μιας σήραγγας, που προσδιορίζεται από την εξωτερική διεύθυνση IP της. Η σήραγγα κατεδαφίζεται και ξαναχτίζεται, οπότε το IKE και το IPsec διαπραγματεύονται από την αρχή με το νέο κλειδί. Το AWS αναφέρει ότι η διακοπή μπορεί να διαρκέσει αρκετά λεπτά, αρκετά ώστε να το προσέξει ένα πρωτόκολλο δρομολόγησης. Η άλλη σήραγγα στην ίδια σύνδεση δεν επηρεάζεται από την κλήση.

Υπάρχει ένα δεύτερο αποτέλεσμα που αξίζει να γνωρίζετε πριν στείλετε οτιδήποτε. Η λειτουργία τροποποίησης παίρνει το πλήρες σύνολο επιλογών της σήραγγας, οπότε ένα πεδίο που παραλείπετε γράφεται πίσω με την προεπιλεγμένη τιμή του. Αν είχατε ρυθμίσει τις διάρκειες ζωής της φάσης 1 ή της φάσης 2, ή τις ρυθμίσεις ανίχνευσης νεκρού ομοτίμου, περάστε τις τρέχουσες τιμές στο ίδιο αίτημα ή σχεδιάστε να τις επαναφέρετε μετά.

Διαβάστε πρώτα τις τρέχουσες τιμές και μετά αλλάξτε ένα πεδίο. Αυτή η σειρά είναι όλη η πειθαρχία αυτής της εργασίας.

Αντιστοιχίστε πρώτα τη σήραγγα AWS με τον σωστό ομότιμο

Η κονσόλα χαρακτηρίζει τις σήραγγες με σειρά και η συσκευή σας δεν χρησιμοποιεί αυτή την ετικέτα. Προσδιορίστε τη σήραγγα από την εξωτερική διεύθυνση IP της και αντιστοιχίστε την με την ενότητα ομοτίμου στην πύλη πελάτη. Η σήραγγα 1 σε μια τοπική διαμόρφωση δεν είναι απόδειξη ότι επεξεργάζεστε τη σήραγγα που το AWS ονομάζει σήραγγα 1.

Ξεκινήστε από την ίδια τη σύνδεση, που απαριθμεί και τις δύο σήραγγες και το κλειδί που κρατά καθεμία αυτή τη στιγμή:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Το κλειδί που επιστρέφεται είναι αυτό που χρησιμοποιείται τώρα. Συγκρίνετε το με τη διαμόρφωση του ομοτίμου πριν αλλάξετε οτιδήποτε, γιατί μια ασυμφωνία που υπάρχει ήδη εξηγεί μια σήραγγα που δεν ήταν ποτέ σταθερή.

Κάντε πρώτα την άλλη σήραγγα να μεταφέρει την κίνηση

Δύο σήραγγες σε μία σύνδεση δεν αποδεικνύουν ότι η συσκευή σας έχει διαμορφώσει και τις δύο, ότι και οι δύο διαφημίζουν τα προθέματα που χρειάζεστε ή ότι η κίνηση κινείται μεταξύ τους. Ελέγξτε τη διαπραγμάτευση της εναλλακτικής σήραγγας, τις διαδρομές της και μια πραγματική ροή εφαρμογής και προς τις δύο κατευθύνσεις. Με BGP, μια ενεργή γειτνίαση είναι χρήσιμη απόδειξη αλλά δεν είναι το ίδιο με την επιβεβαίωση των προθεμάτων. Με στατική δρομολόγηση, επιβεβαιώστε πώς η πύλη επιλέγει τη διαδρομή και τι κάνει όταν η προτιμώμενη εξαφανιστεί.

Αν η εναλλακτική δεν μπορεί να μεταφέρει τον φόρτο εργασίας, προγραμματίστε τη διακοπή ή επισκευάστε την εναλλακτική σήραγγα πριν αγγίξετε το κλειδί. Ένα φωτάκι κατάστασης σε μια σελίδα κονσόλας δεν είναι υπόσχεση αδιάκοπης υπηρεσίας.

Περιστρέψτε μία σήραγγα και μετά επαληθεύστε με πραγματική κίνηση

Όταν η εναλλακτική διαδρομή έχει αποδειχθεί, η σειρά είναι σύντομη. Καταγράψτε τη διεύθυνση της σήραγγας, τον ομότιμό της και τις μη μυστικές ρυθμίσεις, και κρατήστε μια διαδρομή διαχείρισης προς την πύλη που δεν εξαρτάται από τη σήραγγα που πρόκειται να σπάσετε.

1. Ενημερώστε τον ομότιμο της πύλης πελάτη για την επιλεγμένη εξωτερική διεύθυνση, ή προετοιμάστε την αλλαγή ώστε να εφαρμοστεί δευτερόλεπτα μετά την κλήση API.
2. Στείλτε την κλήση τροποποίησης με το νέο κλειδί μαζί με τις τρέχουσες διάρκειες ζωής και τις τιμές DPD.
3. Περιμένετε να επανέλθουν το IKE και το IPsec και μετά επιβεβαιώστε τις διαδρομές και τα απαιτούμενα προθέματα.
4. Περάστε μια αντιπροσωπευτική ροή εφαρμογής από αυτή τη σήραγγα και παρακολουθήστε και τις δύο κατευθύνσεις.

Η σήραγγα είναι άχρηστη όσο τα άκρα διαφωνούν και όσο το AWS εφαρμόζει την τροποποίηση, οπότε η ενημέρωση του ομοτίμου πρέπει να ακολουθήσει αμέσως και όχι μετά το μεσημεριανό. Μόνο όταν η αλλαγμένη σήραγγα μεταφέρει πραγματική κίνηση πρέπει να επαναλάβετε τη διαδικασία στην άλλη.

Σταματήστε αν η ανάκτηση ή η δρομολόγηση είναι ακόμη αβέβαιες μετά την πρώτη σήραγγα. Δύο μισολειτουργικές σήραγγες είναι χειρότερες από μία που ξέρετε ότι δουλεύει.

Όταν η ανάκτηση κολλάει, διαβάστε την πλευρά IKE

Μια σήραγγα που μένει κάτω αφού και τα δύο άκρα κρατούν το νέο κλειδί είναι συνήθως μια ασυμφωνία πολιτικής που η περιστροφή αποκάλυψε και δεν δημιούργησε. Οι προτάσεις, η ταυτότητα που στέλνει ο ομότιμος και οι επιλογείς κίνησης πρέπει όλα να συμφωνούν με την πλευρά AWS, και μια τιμή που επέζησε από μια εδραιωμένη σήραγγα μπορεί ακόμη να απορριφθεί κατά τη διάρκεια μιας νέας διαπραγμάτευσης. Διαβάστε την κατάσταση της διαπραγμάτευσης και το συνημμένο μήνυμα πριν αλλάξετε το κλειδί δεύτερη φορά.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Αν η αλλαγή πρέπει να αναιρεθεί, μην επαναφέρετε το παλιό κλειδί μόνο και μόνο επειδή δούλευε παλιά. Αντιμετωπίστε ένα παραβιασμένο κλειδί ως παραβιασμένο και διορθώστε τη διαπραγμάτευση αντ' αυτού. Τελειώστε με επαληθευμένες και τις δύο σήραγγες και ενημερωμένο απόθεμα μυστικών ώστε κάθε ομότιμος να καταγράφει ποια τιμή κρατά, και κρατήστε την τεκμηρίωση των επιλογών σήραγγας του AWS δίπλα στο runbook.