AWS VPN-i PSK rotatsioon: milline tunnel katkeb ja millal

Ühe AWS VPN-i tunneli eeljagatud võtme muutmine katkestab selle tunneli, kuni mõlemad pooled nõustuvad. Tõestage esmalt alternatiivne tee ja rotatsioonige seejärel üks tunnel korraga.

Tunnel katkeb hetkel, mil kaks otsa eeljagatud võtme osas eriarvamusel on, ja jääb maas olema, kuni mõlemad pooled kannavad uut väärtust. See osa on ootuspärane: AWS käsitleb muudatust valitud tunneli katkestusena ja partner ei lõpeta IKE-t, kuni võtmed erinevad. Mis inimesi üllatab, on teine pool. Teine tunnel ei võta liiklust iseenesest üle, kui te pole kontrollinud, et see suudab seda kanda. Rotatsioonige selles järjekorras ja katkestus jääb ühe tunneli sisse.

Mis tegelikult juhtub, kui võti muutub

ModifyVpnTunnelOptions kirjutab ümber ühe tunneli valikud, mille määrab selle väline IP-aadress. Tunnel lammutatakse ja ehitatakse uuesti, seega IKE ja IPsec peavad uue võtmega läbirääkimisi nullist. AWS märgib, et katkestus võib kesta mitu minutit, mis on piisavalt kaua, et marsruutimisprotokoll seda märkaks. Teist tunnelit samas ühenduses see kutse ei puuduta.

Enne millegi saatmist tasub teada teist mõju. Muutmistoiming võtab kogu tunnelivalikute komplekti, seega väli, mille välja jätate, kirjutatakse tagasi oma vaikeväärtusega. Kui olete reguleerinud faasi 1 või faasi 2 eluiga või surnud partneri tuvastamise seadeid, edastage praegused väärtused samas päringus või plaanige need hiljem taastada.

Lugege esmalt praegused väärtused, seejärel muutke ühte välja. See järjekord on kogu selle ülesande distsipliin.

Sobitage AWS-i tunnel kõigepealt õige partneriga

Konsool märgistab tunneleid järjekorra järgi ja teie seade ei kasuta seda silti. Tuvastage tunnel selle välise IP-aadressi järgi ja sobitage see kliendi lüüsi partneri jaotisega. Tunnel 1 kohalikus konfiguratsioonis ei ole tõend, et muudate tunnelit, mida AWS nimetab tunneliks 1.

Alustage ühendusest endast, mis loetleb mõlemad tunnelid ja võtme, mida kumbki praegu hoiab:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Tagastatav võti on see, mida praegu kasutatakse. Võrrelge seda partneri konfiguratsiooniga enne millegi muutmist, sest juba olemasolev lahknevus seletab tunnelit, mis ei olnud kunagi stabiilne.

Laske esmalt teisel tunnelil liiklust kanda

Kaks tunnelit ühes ühenduses ei tõesta, et teie seade on mõlemad konfigureerinud, et mõlemad kuulutavad välja vajalikud prefiksid või et liiklus nende vahel liigub. Kontrollige alternatiivse tunneli läbirääkimisi, selle marsruute ja tõelist rakendusevoogu mõlemas suunas. BGP puhul on elav naabrus kasulik tõend, kuid mitte sama, mis prefiksite kinnitamine. Staatilise marsruutimise puhul kinnitage, kuidas lüüs tee valib ja mida see teeb, kui eelistatud tee kaob.

Kui alternatiiv ei suuda töökoormust kanda, ajastage katkestus või parandage alternatiivne tunnel enne, kui võtit puudutate. Konsooli leheküljel olev olekurike ei ole katkematu teenuse lubadus.

Rotatsioonige üks tunnel ja kontrollige seejärel tõelise liiklusega

Kui alternatiivne tee on tõestatud, on järjekord lühike. Märkige üles tunneli aadress, selle partner ja mitte-salajased seaded ning hoidke lüüsile haldustee, mis ei sõltu tunnelist, mille kohe katkestate.

  1. Uuendage kliendi lüüsi partnerit valitud välisaadressi jaoks või valmistage muudatus ette nii, et see jõustub sekundeid pärast API-kutset.
  2. Saatke muutmiskuutse uue võtmega koos praeguste eluigade ja DPD väärtustega.
  3. Oodake, kuni IKE ja IPsec taastuvad, seejärel kinnitage marsruudid ja vajalikud prefiksid.
  4. Saatke esinduslik rakendusevoog sellest tunnelist läbi ja jälgige mõlemat suunda.

Tunnel on kasutuskõlbmatu, kuni otsad on eriarvamusel ja kuni AWS muudatust rakendab, seega peab partneri uuendus järgnema kohe, mitte pärast lõunat. Alles siis, kui muudetud tunnel kannab tõelist liiklust, korrake protseduuri teisel.

Peatuge, kui taastamine või marsruutimine on pärast esimest tunnelit endiselt ebakindel. Kaks pooltöötavat tunnelit on hullemad kui üks, mis teadaolevalt töötab.

Kui taastamine takerdub, lugege IKE poolt

Tunnel, mis jääb maas olema ka pärast seda, kui mõlemad otsad hoiavad uut võtit, on tavaliselt poliitika lahknevus, mille rotatsioon paljastas, mitte lõi. Ettepanekud, identiteet, mille partner saadab, ja liikluse valijad peavad kõik AWS-i poolega nõustuma, ning väärtus, mis püsis püstitatud tunnelis, võidakse uue läbirääkimise ajal siiski tagasi lükata. Lugege läbirääkimise olekut ja sellele lisatud sõnumit enne, kui võtit teist korda muudate.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Kui muudatus tuleb tagasi võtta, ärge taastage vana võtit ainult sellepärast, et see varem töötas. Käsitlege kompromiteeritud võtit kompromiteerituna ja parandage selle asemel läbirääkimine. Lõpetage mõlema tunneli kontrollimise ja saladuste loendi uuendamisega, et iga partner registreeriks, millist väärtust ta hoiab, ning hoidke AWS-i tunnelivalikute dokumentatsiooni runbooki kõrval.

Seotud artiklid