Näin saat AWS:n käynnistämään Site-to-Site VPN -tunnelin
Käynnistystoiminto ja DPD-aikakatkaisutoiminto vastaavat eri kysymyksiin. Aseta se, joka saa AWS:n aloittamaan, ja tarkista sitten vastapuolen osoite ja sovelluksen reitti.
Oletuksena AWS Site-to-Site VPN odottaa, että customer gateway aloittaa neuvottelun. Tämä oletus on asetus, ei laki, ja asetuksen nimi on Startup action. Ennen kuin tartut siihen, erota kaksi kysymystä, jotka menevät jatkuvasti sekaisin: kuka pystyttää tunnelin ja onko niillä paketeilla, joista välität, reitti sen kautta. Vain ensimmäinen asuu tunnelin asetuksissa.
Erota käynnistystoiminto DPD-aikakatkaisutoiminnosta
Kaksi tunnelikohtaista asetusta ohjaa kahta eri tapahtumaa, eikä toisen asettaminen kerro toisesta mitään.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Jos AWS:n pitää pystyttää uusi tai muutettu tunneli, valitse start. Jos AWS:n pitää myös käynnistää neuvottelu uudelleen DPD-aikakatkaisun jälkeen, määritä restart sitä tapahtumaa varten erikseen. Kumpikaan asetus ei ole sovelluksen uudelleenyrityskäytäntö eikä kumpikaan ole avaimenvaihtoväli: DPD tarkistaa, onko vastapuoli elossa, kun taas avaimenvaihto korvaa security associations elävällä tunnelilla.
Sovellus, joka aikakatkaisee tunnelin yhä raportoidessa up, kärsii datapolun ongelmasta. DPD-ajastimen lyhentäminen ei korjaa sitä ja voi lisätä häiriötä, joka sinun on selitettävä myöhemmin.
Tarkista, että AWS:llä on minne lähettää neuvottelu
AWS:n puolen käynnistys toimii vain IKEv2:lla, ja AWS tarvitsee customer gatewayn julkisen osoitteen tietääkseen, minne ehdotus lähetetään. Tapaus, joka sattuu, on ilman osoitetta luotu sertifikaatilla todennettu customer gateway -resurssi: AWS:n dokumentaatio kuvaa uuden customer gateway -resurssin luomisen osoitteen kanssa ja sitten VPN-yhteyden muuttamisen osoittamaan siihen.
Sertifikaatti todistaa, kuka vastapuoli on. Se ei kerro AWS:lle, missä vastapuoli on, ja ne ovat kaksi eri vaatimusta. Siksi ratkaisu on uusi customer gateway -resurssi eikä uusi sertifikaatti. Sertifikaatin vaihtaminen jättää AWS:n saman puuttuvan kohdeosoitteen kanssa.
Jos customer gateway on NAT:n takana, AWS tarvitsee myös määritetyn responder identity -arvon, IDr, jotta vastapuolen identiteetti vastaa sitä, mitä laite odottaa. Vahvista tämä arvo ja palomuurin reitti, joka päästää IKE-liikenteen läpi, ennen kuin syytät juuri muuttamaasi asetusta. Valitseminen start ei voi saada tavoittamattoman tai väärin tunnistetun vastapuolen hyväksymään ehdotusta.
Kohdista muutos yhteen tunneliin ja odota katkosta
VPN-yhteydellä on kaksi tunnelia, joilla on itsenäiset asetukset, joten varmista ulkoisen osoitteen perusteella, kumpaa muokkaat. AWS sallii yhden tunnelin muuttamisen kerrallaan, ja valitun tunnelin yhteys voi katketa useiksi minuuteiksi.
- Valitse Site-to-Site VPN -yhteys ja avaa Modify VPN tunnel options.
- Valitse tunneli ulkoisen IP-osoitteen perusteella ja vahvista sen IKE-versio ja customer gateway -resurssi.
- Aseta käynnistys- ja DPD-toiminnot, jotka todella haluat, ja tallenna sitten ikkunassa, jota hallitset.
- Vahvista, että muutettu tunneli muodostuu, ja tarkista toinen tunneli ja reititys ennen seuraavaa muutosta.
Yksi käyttäytyminen ansaitsee huomiota ennen huoltoa. Kun AWS-käynnistys on päällä, aikakatkaisua ei ole: AWS yrittää, kunnes tunneli nousee, ja käynnistää uudelleen, kun customer gateway lähettää delete-SA-viestin. Jos otat vastapuolen alas tahallasi, AWS jatkaa kolkuttamista, ja vastapuolen lokit näyttävät sen.
Tarkista sovelluksen polku, ei vain tunnelin tila
Tunnelin raportoima up ei ole sama kuin toimiva pyyntö. VPC:hen liitetty Lambda-funktio tarvitsee yhä subnet-reitin asiakkaan etuliitteeseen, liikenteen sallivat security group- ja network ACL -säännöt, oikean osoitteen palauttavan nimien selvityksen ja paluupolun asiakkaan puolella.
Testaa kerran oikealla pyynnöllä sovelluksen kontekstista ja lue sitten flow logs, jos se epäonnistuu. Keepalive-liikenne on laillinen vaihtoehto, kun AWS-käynnistys on pois päältä ja joutilas tunneli tarvitsee paketteja pysyäkseen pystyssä, mutta sen pitäisi olla monitorointipäätös, jonka voit nimetä, ei funktioon kiinnitetty selittämätön ping-silmukka.
Valitse ensin, kuka pystyttää tunnelin, ja diagnosoi sitten jäljelle jäävä vika sen omassa kerroksessa. AWS:n dokumentaatio käynnistyksestä kattaa osoitteen, identiteetin ja uudelleenyritysten vaatimukset yksityiskohtaisemmin kuin konsolin vihjeet.