Cloud VPN-i piirangud, mida ei saa reguleerida: IKE eluiga ja peeri NAT

Andke kaugseadmele 24-tunnine faasi 1 eluiga ja Cloud VPN-i tunnel jääb maha, kuigi Google'i poolel on kõik õigesti konfigureeritud. Peer pakub väärtust, mida vastaja ei nõustu, seega läbirääkimine kas ebaõnnestub täielikult või algab lõputult uuesti. Cloud VPN piirab faasi 1 36,000 sekundiga, see on kümme tundi, ja see piir ei ole säte, mida saaksite tõsta. Muudatus kuulub kaugseadmele.

Peer küsib, vastaja otsustab

IKE on kahe pakkumiskomplekti sobitamise harjutus. Tunnel tekib ainult seal, kus komplektid kattuvad vastaja aktsepteeritavates piirides, mistõttu vahemikust väljas eluiga ei tekita üldse osalist tunnelit. Tavaline viga on käsitleda peeri konfiguratsiooni soovinimekirjana, mitte pakkumisena. Tühi lõikumine jätab tunneli maha, ükskõik kui korrektne on marsruutimine ja selektorid.

Lugege enne juhtumi avamist tunneli enda olekut, sest üksikasjalik olek nimetab tavaliselt ebaõnnestunud etapi:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Võrrelge tagastatut toetatud komplektiga oma lüüsi tüübi ja IKE versiooni jaoks ning kirjutage seal olles üles mõlemad liiklusselektorid. Seleptori lahknevus annab sama mahajäänud tunneli sümptomi nagu algoritmi lahknevus, ja erinevalt algoritmist on see teie parandada.

36,000 sekundit on ülempiir

Faas 1 peatub 36,000 sekundi juures. Seade, mis on seatud 86,400 peale, palub midagi, millega vastaja ei nõustu kunagi, ja kordamine ei muuda tema meelt. Keerake kaugpakkumine vahemikku tagasi ja sama konfiguratsioon luuakse; asümmeetria on kogu õppetund, sest te võite oma väärtust langetada ja ei saa Google'i oma tõsta.

Kirjutage valitud väärtus projekteerimismärkmetesse. Muidu kordab järgmine insener 24-tunnist katset ja jõuab sama seinani.

Toetatud komplekt avaldatakse lüüsi tüübi ja IKE versiooni kaupa Cloud VPN-i ülevaates, seega lugege oma topoloogia jaotist, mitte üldist IKE juhendit.

Tunnel, mis kukub graafiku järgi

Faas 2 käitub teisiti: kui kaks otsa ei ole nõus, järgib võtmeuuendus lühemat intervalli. Peer, kes peab lahknevust fataalseks, laseb tunneli hoopis alla, seega võib üks lahknevus näida kahe sõltumatu rikkena. Jälgige võtmeuuenduse rütmi, mitte ainult esimest ühendust. Tunnel, mis tõuseb ja siis korrapärases taktis maha kukub, on sagedamini eluea lahknevus kui marsruutimise defekt.

Korreleerige need kukkumise ajatemplid peeri enda logidega enne millegi muutmist, sest selektori või marsruudi muudatus võib sama rütmi jäljendada. Kui takt sobib faasi 2 taimeriga, on põhjus leitud ilma pakkumist puutumata.

Komplektid tulevad lüüsi tüübist

Šifreerimis- ja terviklikkuse komplektid ei ole ühe tunneli profiil, mida muudate nii, nagu strongSwan lubab. Valite need lüüsi tüübi ja IKE versiooni järgi ning olematu profiili tagaajamine raiskab ühe pärastlõuna.

Vana seade, mis ei paku toetatud komplekti piires midagi, jätab kaks ausat teed: vahetage seade välja või lõpetage teie juhitaval tarkvara lüüsil ja marsruutige sealt VPC-sse. Kõik muu on möörahu, mis ebaõnnestub järgmisel ülevaatusel.

Üks väline aadress seadme kohta

Peeri väline aadress peab vastenduma üks-ühele tema sisemise aadressiga. Ülekoormatud PAT-i kogum ei saa töötada, sest mitu hosti ühe avaliku aadressi taga ei anna vastajale mingit võimalust neid eristada. Kus mitu hosti peavad aadressi jagama, peab tunnel lõppema kohas, mis suudab neid eristada.

Hoidke ka see väline aadress stabiilsena. Viige seade teise NAT-i taha ja seos katkeb, kuigi iga pakkumine veel sobib. Tasub kirja panna, millised väärtused on Google'i ja millised teie omad: eluead, komplektid ja üks-ühele NAT on nende poolel fikseeritud, samas kui pakkumised, selektorid, marsruutimine ja BGP prioriteedid on teie omad.