Kuidas panna AWS alustama Site-to-Site VPN tunnelit
Käivitustoiming ja DPD aegumistoiming vastavad erinevatele küsimustele. Määrake see, mis paneb AWS-i algatama, seejärel kontrollige partneri aadressi ja rakenduse marsruuti.
Vaikimisi ootab AWS Site-to-Site VPN, et customer gateway alustaks läbirääkimisi. See vaikeväärtus on säte, mitte seadus, ja sätte nimi on Startup action. Enne kui selle järele sirutate, eraldage kaks küsimust, mida pidevalt segi aetakse: kes tunneli püsti paneb ja kas pakettidel, millest hoolite, on selle kaudu marsruut. Ainult esimene elab tunneli valikutes.
Eraldage käivitustoiming DPD aegumistoimingust
Kaks valikut tunneli kohta juhivad kahte erinevat sündmust ja ühe seadistamine ei ütle teise kohta midagi.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Kui AWS peab püsti panema uue või muudetud tunneli, valige start. Kui AWS peab pärast DPD aegumist ka läbirääkimised uuesti käivitama, seadistage restart selle sündmuse jaoks eraldi. Kumbki valik ei ole rakenduse korduskatse poliitika ja kumbki ei ole võtmevahetuse intervall: DPD kontrollib, kas partner on elus, samal ajal kui võtmevahetus asendab security associations töötavas tunnelis.
Rakendus, mis aegub, samal ajal kui tunnel teatab endiselt up, kannatab andmetee probleemi käes. DPD taimeri lühendamine ei paranda seda ja võib lisada segadust, mida peate hiljem selgitama.
Kontrollige, et AWS-il oleks läbirääkimised kuhu saata
AWS-poolne algatamine toimib ainult IKEv2-ga ja AWS vajab customer gateway avalikku aadressi, et teada, kuhu ettepanek saata. Valus juhtum on sertifikaadiga autenditud customer gateway ressurss, mis loodi ilma aadressita: AWS dokumentatsioon kirjeldab uue customer gateway ressursi loomist koos aadressiga ja seejärel VPN-ühenduse muutmist sellele osutama.
Sertifikaat tõestab, kes partner on. See ei ütle AWS-ile, kus partner asub, ja need on kaks erinevat nõuet. Seetõttu on lahendus uus customer gateway ressurss, mitte uus sertifikaat. Sertifikaadi vahetamine jätab AWS-i sama puuduva sihtkohaga.
Kui customer gateway asub NAT-i taga, vajab AWS ka seadistatud responder identity, IDr, et partneri identiteet vastaks sellele, mida seade ootab. Kinnitage see väärtus ja tulemüüri tee, mis IKE liiklust läbi laseb, enne kui süüdistate valikut, mille just muutsite. Valiku start tegemine ei saa panna kättesaamatut või valesti tuvastatud partnerit ettepanekut vastu võtma.
Rakendage muudatus ühele tunnelile ja oodake katkestust
VPN-ühendusel on kaks sõltumatute valikutega tunnelit, seega kinnitage välisaadressi järgi, millist te muudate. AWS lubab muuta korraga ühte tunnelit ja valitud tunneli ühenduvus võib katkeda mitmeks minutiks.
- Valige Site-to-Site VPN ühendus ja avage Modify VPN tunnel options.
- Valige tunnel välise IP-aadressi järgi ja kinnitage selle IKE versioon ning customer gateway ressurss.
- Määrake käivitus- ja DPD-toimingud, mida te tõesti soovite, ja salvestage aknas, mida kontrollite.
- Kinnitage, et muudetud tunnel püstitub, ja kontrollige teist tunnelit ning marsruutimist enne järgmist muudatust.
Üks käitumine väärib enne hooldust tähelepanu. Kui AWS-i algatamine on sisse lülitatud, siis aegumist ei ole: AWS proovib edasi, kuni tunnel püsti tõuseb, ja algatab uuesti, kui customer gateway saadab delete-SA sõnumi. Kui võtate partneri meelega maha, jääb AWS koputama ja partneri logid näitavad seda.
Kontrollige rakenduse teed, mitte ainult tunneli olekut
Tunnel, mis teatab up, ei ole sama mis töötav päring. VPC-ga ühendatud Lambda funktsioon vajab endiselt subnet marsruuti kliendi prefiksini, security groupi ja network ACL-i reegleid, mis liiklust lubavad, nimelahendust, mis tagastab õige aadressi, ja tagasiteed kliendi poolel.
Testige üks kord päris päringuga rakenduse kontekstist ja kui see ebaõnnestub, lugege flow logs. Keepalive liiklus on õiguspärane valik, kui AWS-i algatamine on väljas ja jõudeolev tunnel vajab pakette püsimiseks, kuid see peaks olema monitooringu otsus, millele saate nime anda, mitte seletamatu ping-ahel, mis on funktsiooni külge kruvitud.
Valige esmalt, kes tunneli püsti paneb, ja diagnoosige siis ülejäänud tõrge selle enda kihis. AWS-i dokumentatsioon algatamise kohta käsitleb aadressi, identiteedi ja korduskatse nõudeid üksikasjalikumalt kui konsooli vihjed.