Nola lortu AWSek Site-to-Site VPN tunela abiaraztea
Abiarazte-ekintzak eta DPD denbora-mugako ekintzak galdera desberdinei erantzuten diete. Ezarri AWS abiaraztea eragiten duena, eta egiaztatu gero parearen helbidea eta aplikazioaren ibilbidea.
Lehenespenez, AWS Site-to-Site VPN batek customer gateway-ak negoziazioa hastea itxoiten du. Lehenespen hori ezarpen bat da, ez legea, eta ezargailuaren izena Startup action da. Horretara jo aurretik, bereizi etengabe nahasten diren bi galdera: nork eraikitzen du tunela, eta axola zaizkizun paketeek badute harekin ibilbiderik. Lehena bakarrik dago tuneleko aukeretan.
Bereizi abiarazte-ekintza DPD denbora-mugako ekintzatik
Tunel bakoitzeko bi aukerak bi gertaera desberdin gobernatzen dituzte, eta bat ezartzeak ez du ezer esaten besteaz.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWSek tunel berri edo aldatua altxatu behar badu, aukeratu start. AWSek DPD denbora-muga baten ondoren negoziazioa berrabiarazi behar badu ere, konfiguratu restart gertaera horretarako bereizita. Bi aukeretako bat ere ez da aplikazioaren berriro saiatzeko politika, eta bat ere ez da gako-aldaketarako tartea: DPDk parea bizirik dagoen egiaztatzen du, eta gako-aldaketak security associations ordezkatzen ditu tunel aktibo batean.
Tunelak oraindik up adierazten duen bitartean denbora-muga jasaten duen aplikazioak datu-bideko arazoa du. DPD tenporizadorea laburtzeak ez du konponduko, eta gero azaldu beharko duzun aztoramendua gehi dezake.
Egiaztatu AWSek baduela negoziazioa norantz bidaltzeko
AWS aldetik hastea IKEv2rekin bakarrik dabil, eta AWSek customer gateway-aren helbide publikoa behar du proposamena nora bidali jakiteko. Gehien min ematen duen kasua helbiderik gabe sortutako ziurtagiri bidez autentifikatutako customer gateway baliabidea da: AWSen dokumentazioak helbidearekin customer gateway baliabide berria sortzea eta gero VPN konexioa hara bideratzera aldatzea deskribatzen du.
Ziurtagiriak frogatzen du nor den parea. Ez dio AWSi parea non dagoen esaten, eta bi baldintza desberdin dira. Horregatik konponbidea customer gateway baliabide berria da, ez ziurtagiri berria. Ziurtagiria aldatzeak AWS helburu faltarekin uzten du.
Customer gateway-a NAT atzean badago, AWSek responder identity konfiguratua ere behar du, IDr, parearen identitatea gailuak espero duenarekin bat etor dadin. Baieztatu balio hori eta IKE trafikoa onartzen duen suebakiko bidea, orain aldatu duzun aukera erruduntzat jo aurretik. start aukeratzeak ezin du lortu iristezina edo gaizki identifikatutako parea proposamen bat onar dezan.
Aplikatu aldaketa tunel bakarrari eta espero etetea
VPN konexio batek bi tunel ditu aukera independenteekin, beraz baieztatu zein editatzen ari zaren kanpoko helbidearen arabera. AWSek aldi berean tunel bat aldatzea baimentzen du, eta hautatutako tunelaren gaineko konektibitatea hainbat minutuz eten daiteke.
- Hautatu Site-to-Site VPN konexioa eta ireki Modify VPN tunnel options.
- Hautatu tunela kanpoko IP helbidearen arabera eta baieztatu bere IKE bertsioa eta customer gateway baliabidea.
- Ezarri benetan nahi dituzun abiarazte- eta DPD-ekintzak, eta gero gorde kontrolatzen duzun leiho batean.
- Baieztatu aldatutako tunela ezartzen dela, eta egiaztatu beste tunela eta bideratzea hurrengo aldaketaren aurretik.
Portaera batek arreta merezi du mantentze-lanaren aurretik. AWS abiaraztea gaituta dagoenean ez dago denbora-mugarik: AWSek tunela altxatzen den arte saiatzen jarraitzen du, eta berriro abiarazten du customer gateway-ak delete-SA mezua bidaltzen duenean. Parea nahita jaisten baduzu, AWSek jotzen jarraituko du, eta parearen erregistroek erakutsiko dute.
Egiaztatu aplikazioaren ibilbidea, ez soilik tunelaren egoera
Up adierazten duen tunela ez da funtzionatzen duen eskaera bera. VPC batera konektatutako Lambda funtzio batek oraindik behar ditu bezeroaren prefixurako subnet ibilbidea, trafikoa baimentzen duten security group eta network ACL arauak, helbide zuzena itzultzen duen izen-ebazpena, eta itzulera-ibilbidea bezeroaren aldean.
Probatu behin aplikazioaren testuingurutik benetako eskaera batekin, eta gero irakurri flow logs huts egiten badu. Keepalive trafikoa aukera zilegia da AWS abiaraztea itzalita dagoenean eta tunel alferrak paketeak behar dituenean zutik irauteko, baina izendatu dezakezun monitorizazio-erabakia izan behar du, ez funtzio bati itsatsitako azalpenik gabeko ping begizta bat.
Hautatu lehenik nork eraikitzen duen tunela, eta gero diagnostikatu gainerako hutsegitea bere geruzan. AWSen abiarazteari buruzko dokumentazioa helbide, identitate eta berriro saiatzeko baldintzak kontsolako argibideek baino zehaztasun handiagoz biltzen ditu.