Kiel igi AWS komenci Site-to-Site VPN-tunelon
La starta ago kaj la DPD-tempa ago respondas malsamajn demandojn. Agordu tiun, kiu igas AWS iniciati, poste kontrolu la adreson de la kunulo kaj la itineron de la aplikaĵo.
Defaŭlte AWS Site-to-Site VPN atendas, ke customer gateway komencu la intertraktadon. Tiu defaŭlto estas agordo, ne leĝo, kaj la agordo nomiĝas Startup action. Antaŭ ol vi atingos ĝin, apartigu du demandojn, kiujn oni konstante kunfandas: kiu starigas la tunelon, kaj ĉu la pakaĵoj, kiuj interesas vin, havas itineron tra ĝi. Nur la unua loĝas en la tunelaj opcioj.
Apartigu la startan agon de la DPD-tempa ago
Du opcioj por tunelo regas du malsamajn eventojn, kaj agordi unu diras nenion pri la alia.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Se AWS devus starigi novan aŭ ŝanĝitan tunelon, elektu start. Se AWS devus ankaŭ restartigi la intertraktadon post DPD-tempo, agordu restart por tiu evento aparte. Neniu el la du opcioj estas reprova politiko de la aplikaĵo, kaj neniu estas intervalo de ŝlosilŝanĝo: DPD kontrolas, ĉu la kunulo vivas, dum ŝlosilŝanĝo anstataŭigas la security associations sur viva tunelo.
Aplikaĵo, kiu tempas dum la tunelo ankoraŭ raportas up, havas problemon de datenvojo. Mallongigi la DPD-tempon ne solvos ĝin, kaj ĝi povas aldoni tumulton, kiun vi devos klarigi poste.
Kontrolu, ke AWS havas kien sendi la intertraktadon
Iniciatado de la AWS-flanko eblas nur per IKEv2, kaj AWS bezonas la publikan adreson de la customer gateway por scii, kien sendi la proponon. La kazo, kiu doloras, estas customer gateway-rimedo aŭtentikigita per atestilo kreita sen adreso: la dokumentaro de AWS priskribas krei novan customer gateway-rimedon kun la adreso kaj poste ŝanĝi la VPN-konekton por montri al ĝi.
Atestilo pruvas, kiu estas la kunulo. Ĝi ne diras al AWS, kie la kunulo estas, kaj tiuj estas du malsamaj postuloj. Tial la solvo estas nova customer gateway-rimedo, ne nova atestilo. Anstataŭigi la atestilon lasas AWS kun la sama mankanta celo.
Se la customer gateway staras malantaŭ NAT, AWS ankaŭ bezonas agorditan responder identity, IDr, por ke la identeco de la kunulo kongruu kun tio, kion la aparato atendas. Konfirmu tiun valoron kaj la fajroŝirman vojon, kiu enlasas IKE-trafikon, antaŭ ol vi kulpigos la opcion, kiun vi ĵus ŝanĝis. Elekti start ne povas igi neatingeblan aŭ malĝuste identigitan kunulon akcepti proponon.
Apliku la ŝanĝon al unu tunelo kaj atendu interrompon
VPN-konekto havas du tunelojn kun sendependaj opcioj, do konfirmu per ĝia ekstera adreso, kiun vi redaktas. AWS permesas ŝanĝi unu tunelon samtempe, kaj la konekteco tra la elektita tunelo povas esti interrompita dum pluraj minutoj.
- Elektu la konekton Site-to-Site VPN kaj malfermu Modify VPN tunnel options.
- Elektu la tunelon laŭ la ekstera IP-adreso kaj konfirmu ĝian IKE-version kaj la customer gateway-rimedon.
- Agordu la startajn kaj DPD-agojn, kiujn vi vere volas, poste konservu dum fenestro, kiun vi kontrolas.
- Konfirmu, ke la ŝanĝita tunelo stabliĝas, kaj kontrolu la alian tunelon kaj la itineradon antaŭ la sekva ŝanĝo.
Unu konduto meritas atenton antaŭ prizorgado. Kun AWS-iniciatado ŝaltita ne ekzistas tempo: AWS daŭre provas ĝis la tunelo leviĝos, kaj ĝi reiniciatas kiam la customer gateway sendas delete-SA-mesaĝon. Se vi intence mallevos la kunulon, AWS daŭre frapados, kaj la protokoloj de la kunulo montros tion.
Kontrolu la vojon de la aplikaĵo, ne nur la staton de la tunelo
Tunelo raportanta up ne samas al funkcianta peto. Lambda-funkcio ligita al VPC ankoraŭ bezonas subnet-itineron al la prefikso de la kliento, regulojn de security group kaj network ACL, kiuj permesas la trafikon, nomrezolucion, kiu redonas la ĝustan adreson, kaj revenan vojon ĉe la klienta flanko.
Testu unufoje per vera peto el la kunteksto de la aplikaĵo, poste legu la flow logs se ĝi malsukcesos. Keepalive-trafiko estas laŭleĝa opcio kiam AWS-iniciatado estas malŝaltita kaj senokupa tunelo bezonas pakaĵojn por resti supre, sed ĝi devus esti monitorada decido, kiun vi povas nomi, ne neklarigita ping-buklo albolita al funkcio.
Unue elektu, kiu starigas la tunelon, poste diagnozu la restantan fiaskon en ĝia propra tavolo. La dokumentaro de AWS pri iniciatado kovras la postulojn pri adreso, identeco kaj reprovo pli detale ol la konsiloj en la konzolo.