AWS VPN PSK bat biratzea: zein tunel erortzen den eta noiz

AWS VPN tunel baten aurrez partekatutako gako bat aldatzeak tunel hori erortzen du bi muturrak ados jarri arte. Frogatu lehenengo bide alternatiboa, eta gero biratu tunel bat aldiko.

Tunela bi muturrek aurrez partekatutako gakoaren inguruan ados ez dauden unean erortzen da, eta behera geratzen da bi aldeek balio berria eraman arte. Zati hori espero daiteke: AWSek aldaketa hautatutako tunelaren etena dela jotzen du, eta parekoak ez du IKE amaituko gakoak desberdinak diren bitartean. Jendea harritzen duena bigarren erdia da. Beste tunelak ez du trafikoa bere kabuz hartzen, egiaztatu ez baduzu hura eraman dezakeela. Hurrenez hurren biratu eta etena tunel baten barruan geratzen da.

Zer gertatzen da benetan gakoa aldatzen denean

ModifyVpnTunnelOptions-ek tunel baten aukerak berridazten ditu, kanpoko IP helbidearen bidez identifikatzen dena. Tunela eraitsi eta berreraiki egiten da, beraz IKE eta IPsec hutsetik negoziatzen dute gako berriarekin. AWSek dio etena hainbat minutu iraun dezakeela, eta hori nahikoa da bideratze protokolo batek nabaritzeko. Konexio bereko beste tunelari deiak ez dio ukitzen.

Ezer bidali aurretik ezagutzea merezi duen bigarren efektu bat dago. Aldaketa-eragiketak tunelaren aukera multzo osoa hartzen du, beraz kanpo uzten duzun eremu bat bere balio lehenetsiarekin berridazten da. Fase 1 edo fase 2 bizitzak edo pareko hilen detekzioaren ezarpenak doitzen badituzu, pasatu uneko balioak eskaera berean edo planifikatu gero berrezartzea.

Irakurri lehenengo uneko balioak, eta gero aldatu eremu bat. Sekuentzia hori da zeregin honen diziplina osoa.

Lotu AWS tunela pareko zuzenarekin lehenengo

Kontsolak tunelei ordenaren arabera etiketatzen die, eta zure gailuak ez du etiketa hori erabiltzen. Identifikatu tunela kanpoko IP helbidearen bidez eta lotu bezeroaren atebideko pareko atalarekin. Tokiko konfigurazio bateko tunel 1 ez da froga AWSek tunel 1 deitzen dion tunela editatzen ari zarenik.

Hasi konexioarekin bertatik, bi tunelak eta bakoitzak une honetan duen gakoa zerrendatzen baititu:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Itzultzen den gakoa une honetan erabiltzen ari dena da. Alderatu parekoaren konfigurazioarekin ezer aldatu aurretik, lehendik dagoen desadostasun batek inoiz egonkorra izan ez zen tunel bat azaltzen baitu.

Utzi beste tunelari trafikoa eroaten lehenengo

Konexio bateko bi tunelak ez dira froga zure gailuak biak konfiguratu dituenik, biek behar dituzun aurrizkiak iragartzen dituztenik edo haien artean trafikoa mugitzen denik. Egiaztatu tunel alternatiboaren negoziazioa, haren bideak eta aplikazio-fluxu erreala bi noranzkoetan. BGP-rekin, bizirik dagoen albokotasuna froga erabilgarria da, baina ez da aurrizkiak baieztatzearen berdina. Bideratze estatikoa erabiliz, egiaztatu atebideak nola aukeratzen duen bidea eta zer egiten duen hobetsitakoa desagertzen denean.

Alternatiboak lan-karga eraman ezin badu, programatu etena edo konpondu tunel alternatiboa gakoa ukitu aurretik. Kontsola-orri bateko argi batek ez du zerbitzu etengabearen promesa egiten.

Biratu tunel bat, eta gero egiaztatu trafiko errealarekin

Bide alternatiboa frogatuta, sekuentzia laburra da. Idatzi tunelaren helbidea, haren parekoa eta sekretuak ez diren ezarpenak, eta mantendu atebiderako kudeaketa-bide bat hautsi behar duzun tunelaren menpe ez dagoena.

  1. Eguneratu bezeroaren atebideko parekoa hautatutako kanpoko helbiderako, edo prestatu aldaketa API deialdiaren segundu batzuetara gauza dadin.
  2. Bidali aldatzeko deialdia gako berriarekin, uneko bizitzei eta DPD balioekin batera.
  3. Itxaron IKE eta IPsec itzul daitezen, eta gero baieztatu bideak eta beharrezko aurrizkiak.
  4. Pasa aplikazio-fluxu adierazgarri bat tunel horretatik eta begiratu bi noranzkoak.

Tunela erabil ezina da muturrak ados ez dauden bitartean eta AWSek aldaketa aplikatzen duen bitartean, beraz parekoaren eguneraketak berehala jarraitu behar du, ez bazkalostean. Aldatutako tunelak trafiko erreala daramanean soilik errepikatu behar duzu prozedura bestean.

Gelditu lehen tunelaren ondoren berreskurapena edo bideratzea ziurra ez bada oraindik. Erdi funtzionatzen duten bi tunel funtzionatzen duela dakizun bat baino okerragoak dira.

Berreskurapena trabatzen denean, irakurri IKE aldea

Bi muturrek gako berria dutenetik behera geratzen den tunela biratzeak agerian utzi zuen eta sortu ez zuen politika-desadostasun bat izan ohi da. Proposamenek, parekoak bidaltzen duen identitateak eta trafiko-hautatzaileek AWS aldearekin bat etorri behar dute, eta tunel ezarri batean iraun zuen balio bat oraindik ere baztertu daiteke negoziazio berri batean. Irakurri negoziazioaren egoera eta hari erantsitako mezua gakoa bigarren aldiz aldatu aurretik.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Aldaketa desegin behar bada, ez berrezarri gako zaharra lehenago funtzionatu zuelako bakarrik. Tratatu gako konprometitua konprometitutzat eta konpondu negoziazioa horren ordez. Amaitu bi tunelak egiaztatuta eta sekretuen inbentarioa eguneratuta, pareko bakoitzak zein balio duen erregistra dezan, eta eduki AWS tunel-aukerei buruzko dokumentazioa runbookaren ondoan.

Erlazionatutako artikuluak