Cloud VPN-ek doitzen ezin diren mugak: IKE-ren iraupena eta peer-aren NAT

Eman urruneko gailuari 24 orduko 1. fasearen iraupena eta Cloud VPN-eko tunela behera geratuko da, Google aldean dena ondo konfiguratuta egon arren. Peer-ak erantzuleak onartuko ez duen balio bat proposatzen du, beraz negoziazioa erabat huts egiten du edo etengabe berrabiarazten da. Cloud VPN-k 1. fasea 36,000 segundotan mugatzen du, hau da, hamar ordu, eta muga hori ezin duzu igo. Aldaketa urruneko gailuarena da.

Peer-ak galdetzen du, erantzuleak erabakitzen du

IKE bi proposamen-multzoen arteko parekatze ariketa da. Tunela erantzuleak onartzen dituen mugetan multzoek gainjartzen duten tokian soilik eratzen da, eta horregatik tartetik kanpoko iraupenak ez du tunel partzialik sortzen. Ohiko akatsa peer-aren konfigurazioa proposamen gisa baino desio-zerrenda gisa tratatzea da. Ebakidura hutsek tunela behera uzten dute, bideratzea eta selektoreak zuzenak izan arren.

Irakurri tunelaren beraren egoera kasua ireki aurretik, egoera zehatzak huts egin duen fasea izendatzen baitu normalean:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Alderatu itzultzen dena zure ate-mota eta IKE bertsiorako onartutako multzoarekin, eta idatzi bi trafiko-selektoreak han zauden bitartean. Selektore desadostasunak tunela behera egotearen sintoma bera ematen du algoritmo desadostasunak bezala, eta algoritmoaren kasuan ez bezala, hau zu zuzentzeko da.

36,000 segundoak dira goiko muga

1. fasea 36,000 segundotan gelditzen da. 86,400-era ezarritako gailu batek erantzuleak inoiz onartuko ez duen zerbait eskatzen du, eta berriro saiatzeak ez dio iritzia aldatzen. Eraman urruneko proposamena tartearen barrura eta konfigurazio bera ezartzen da; asimetria da ikasgai osoa, zurea jaitsi baitzaitezke eta ezin baituzu Google-rena igo.

Idatzi hautatutako balioa diseinu-oharretan. Bestela hurrengo ingeniariak 24 orduko esperimentua errepikatuko du eta horma berera iritsiko da.

Onartutako multzoa ate-mota eta IKE bertsioaren arabera argitaratzen da Cloud VPN-ren ikuspegi orokorrean, beraz irakurri zure topologiarako atala, IKE gida orokor bat beharrean.

Ordutegi baten arabera erortzen den tunela

2. fasea beste modu batera jokatzen du: bi muturrak ados ez daudenean, gako-berritzeak tarte laburrenari jarraitzen dio. Desadostasuna hilgarritzat hartzen duen peer-ak tunela bota egiten du, beraz desadostasun batek erlaziorik gabeko bi akats dirudi. Begiratu gako-berritzearen erritmoa, ez soilik lehen konexioa. Altxatu eta gero erritmo erregularrean erortzen den tunela iraupen-desadostasuna izaten da sarriago, bideratze-akatsa baino.

Lotu erorketa-marka horiek peer-aren beraren erregistroekin ezer aldatu aurretik, selektore edo ibilbide aldaketa batek erritmo bera imita baitezake. Erritmoa 2. fasearen tenporizadorearekin bat badator, arrazoia aurkitu da proposamenik ukitu gabe.

Multzoak ate-motatik datoz

Zifratze eta osotasun multzoak ez dira tunel bakoitzeko profila, strongSwan-ek uzten dizun bezala editatzeko. Ate-mota eta IKE bertsioaren arabera aukeratzen dituzu, eta existitzen ez den profil baten bila arratsalde bat alferrik galtzen da.

Onartutako multzoaren barruan ezer eskaintzen ez duen gailu zahar batek bi bide zintzo uzten ditu: gailua ordeztu, edo zuk kontrolatzen duzun software-ate batean amaitu eta hortik VPC-ra bideratu. Beste edozein gauza hurrengo berrikuspenean huts egingo duen konponbide itsusia da.

Gailu bakoitzeko kanpoko helbide bat

Peer-aren kanpoko helbideak bat-batean mapatu behar du bere barneko helbidera. Gainkargatutako PAT igerileku batek ezin du funtzionatu, helbide publiko bakar baten atzeko hainbat ostalarik erantzuleari haiek bereizteko modurik ematen ez diotelako. Hainbat ostalarik helbide bat partekatu behar dutenean, tunelak haiek bereiz ditzakeen tokian amaitu behar du.

Mantendu kanpoko helbide hori egonkor ere. Mugitu gailua beste NAT baten atzera eta elkartzeak eten egiten du, proposamen bakoitzak oraindik bat egiten duen arren. Merezi du idaztea zein balio diren Google-renak eta zein zureak: iraupenak, multzoak eta bat-bateko NAT haien aldean finko daude, proposamenak, selektoreak, bideratzea eta BGP lehentasunak zureak diren bitartean.