Cloud VPN:n rajat, joita et voi säätää: IKE:n elinikä ja peerin NAT

Anna etälaitteelle 24 tunnin vaiheen 1 elinikä, niin Cloud VPN -tunneli pysyy alhaalla, vaikka Googlen puolella kaikki on määritetty oikein. Peer ehdottaa arvoa, jota vastaaja ei hyväksy, joten neuvottelu joko epäonnistuu kokonaan tai käynnistyy uudelleen loputtomasti. Cloud VPN rajoittaa vaiheen 1 36,000 sekuntiin eli kymmeneen tuntiin, eikä tämä yläraja ole asetus, jota voisit nostaa. Muutos kuuluu etälaitteelle.

Peer kysyy, vastaaja päättää

IKE on kahden ehdotusjoukon sovitusharjoitus. Tunneli muodostuu vain siellä, missä joukot limittyvät vastaajan hyväksymissä rajoissa, minkä vuoksi välin ulkopuolinen elinikä ei tuota lainkaan osittaista tunnelia. Tavallinen virhe on kohdella peerin määritystä toivelistana eikä ehdotuksena. Tyhjä leikkaus jättää tunnelin alas, olivatpa reititys ja valitsimet kuinka oikein tahansa.

Lue tunnelin oma tila ennen tapauksen avaamista, sillä yksityiskohtainen tila nimeää yleensä vaiheen, joka epäonnistui:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Vertaa palautunutta yhdyskäytävätyyppisi ja IKE-versiosi tuettuun joukkoon ja kirjaa molemmat liikenteen valitsimet siellä ollessasi. Valitsimen ristiriita antaa saman alhaalla olevan tunnelin oireen kuin algoritmin ristiriita, ja toisin kuin algoritmi, tämä on sinun korjattavasi.

36,000 sekuntia on yläraja

Vaihe 1 pysähtyy 36,000 sekuntiin. Laitteeseen asetettu 86,400 pyytää jotain, johon vastaaja ei koskaan suostu, eikä uudelleen yrittäminen muuta sen mieltä. Käännä etäehdotus takaisin välin sisään, niin sama määritys muodostuu; epäsymmetria on koko oppi, koska voit laskea omaa arvoasi etkä voi nostaa Googlen arvoa.

Kirjoita valittu arvo suunnittelumuistiinpanoihin. Muuten seuraava insinööri toistaa 24 tunnin kokeen ja päätyy samaan seinään.

Tuettu joukko julkaistaan yhdyskäytävätyypeittäin ja IKE-versioittain Cloud VPN -yleiskatsauksessa, joten lue oman topologiasi osio yleisen IKE-oppaan sijaan.

Tunneli, joka putoaa aikataulun mukaan

Vaihe 2 käyttäytyy eri tavoin: kun kaksi päätä ovat eri mieltä, avainten uusinta seuraa lyhyempää väliä. Peer, joka pitää ristiriitaa kohtalokkaana, pudottaa tunnelin sen sijaan, joten yksi ristiriita voi näyttää kahdelta erilliseltä vialta. Tarkkaile avainten uusinnan rytmiä, älä vain ensimmäistä yhteyttä. Tunneli, joka nousee ja putoaa sitten säännöllisessä tahdissa, on useammin eliniän ristiriita kuin reititysvika.

Korreloi ne putoamisajat peerin omiin lokeihin ennen kuin muutat mitään, sillä valitsimen tai reitin muutos voi jäljitellä samaa rytmiä. Jos tahti osuu vaiheen 2 ajastimeen, syy on löytynyt koskematta ehdotukseen.

Joukot tulevat yhdyskäytävätyypistä

Salaus- ja eheysjoukot eivät ole tunnelikohtainen profiili, jota muokkaisit kuten strongSwan sallii. Valitset ne yhdyskäytävätyypin ja IKE-version mukaan, ja olemattoman profiilin metsästys tuhlaa yhden iltapäivän.

Vanha laite, joka ei tarjoa mitään tuetun joukon sisällä, jättää kaksi rehellistä polkua: vaihda laite tai päätä hallitsemaasi ohjelmistoyhdyskäytävään ja reititä sieltä VPC:hen. Kaikki muu on kiertotie, joka epäonnistuu seuraavassa katselmoinnissa.

Yksi ulkoinen osoite laitetta kohden

Peerin ulkoisen osoitteen on kartuttava yksi-yhteen sen sisäiseen osoitteeseen. Ylikuormitettu PAT-allas ei voi toimia, koska useat isännät yhden julkisen osoitteen takana eivät anna vastaajalle mitään tapaa erotella niitä. Kun useiden isäntien on jaettava osoite, tunnelin on päätyttävä paikkaan, joka pystyy erottamaan ne.

Pidä myös tuo ulkoinen osoite vakaana. Siirrä laite toisen NAT:n taakse, niin liitos katkeaa, vaikka jokainen ehdotus vielä täsmää. Kannattaa kirjata, mitkä arvot ovat Googlen ja mitkä sinun: eliniät, joukot ja yksi-yhteen NAT ovat kiinteitä heidän puolellaan, kun taas ehdotukset, valitsimet, reititys ja BGP-prioriteetit ovat sinun.