Hoe't jo AWS in Site-to-Site VPN-tunnel begjinne litte
Begjinaksje en DPD-timeoutaksje beantwurdzje ferskillende fragen. Set dyjinge dy't AWS inisjearje lit, kontrolearje dan it adres fan 'e peer en de rûte fan 'e app.
Standert wachtet in AWS Site-to-Site VPN oant it customer gateway de ûnderhanneling begjint. Dy standert is in ynstelling, gjin wet, en de ynstelling hjit Startup action. Foardat jo dêrnei reitsje, skied twa fragen dy't hieltyd mongen wurde: wa't de tunnel oanleit, en oft de pakketten dy't jo oanbelangje in rûte der troch hawwe. Allinnich de earste sit yn 'e tunnelopsjes.
Skied de begjinaksje fan 'e DPD-timeoutaksje
Twa opsjes per tunnel behearskje twa ferskillende barrens, en it iene ynstelle seit neat oer it oare.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
As AWS in nije of wizige tunnel oanlizze moat, kies start. As AWS de ûnderhanneling ek nei in DPD-timeout opnij begjinne moat, konfigurearje restart foar dy barren apart. Gjin fan beide opsjes is in werprobearbelied foar de app, en gjin fan beide is in kaaiwikselinterval: DPD kontrolearret oft de peer libbet, wylst kaaiwiksel de security associations op in libbene tunnel ferfangt.
In app dy't in timeout krijt wylst de tunnel noch up rapportearret, hat in probleem mei it datapad. It DPD-timer koarter meitsje sil dat net oplosse, en it kin drokte tafoegje dy't jo letter útlege moatte.
Kontrolearje oft AWS earne hat om de ûnderhanneling hinne te stjoeren
Inisjaasje fan 'e AWS-kant kin allinnich mei IKEv2, en AWS hat it iepenbiere adres fan it customer gateway nedich om te witten wêr't it foarstel hinne moat. It gefal dat sear docht is in customer gateway-boarne mei sertifikaatautentikaasje dy't sûnder adres oanmakke is: de AWS-dokumintaasje beskriuwt it oanmeitsjen fan in nije customer gateway-boarne mei it adres en dan it feroarjen fan 'e VPN-ferbining om dêrhinne te wizen.
In sertifikaat bewissiget wa't de peer is. It fertelt AWS net wêr't de peer is, en dat binne twa ferskillende easken. Dêrom is de oplossing in nije customer gateway-boarne en net in nij sertifikaat. It sertifikaat ferwikselje lit AWS mei deselde ûntbrekkende bestimming efter.
As it customer gateway efter NAT sit, hat AWS ek in konfigurearre responder identity nedich, IDr, sadat de identiteit fan 'e peer oerienkomt mei wat it apparaat ferwachtet. Befêstigje dy wearde en it fjoerwarpad dat IKE-ferkear trochlit foardat jo de opsje de skuld jouwe dy't jo krekt feroare hawwe. It kiezen fan start kin in ûnberikbere of ferkeard identifisearre peer net in foarstel akseptearje litte.
Set de feroaring op ien tunnel ta en ferwachtsje in ûnderbrekking
In VPN-ferbining hat twa tunnels mei ûnôfhinklike opsjes, dus befêstigje oan hokker jo wurkje oan 'e hân fan it bûtenadres. AWS lit ien tunnel tagelyk feroarje, en de ferbining oer de keazen tunnel kin in pear minuten ûnderbrutsen wurde.
- Selektearje de Site-to-Site VPN-ferbining en iepenje Modify VPN tunnel options.
- Kies de tunnel op basis fan it bûten-IP-adres en befêstigje de IKE-ferzje en de customer gateway-boarne.
- Set de begjin- en DPD-aksjes dy't jo wier wolle, en bewarje dan yn in finster dat jo behearskje.
- Befêstigje dat de wizige tunnel ta stân komt, en kontrolearje de oare tunnel en de routing foar de folgjende feroaring.
Ien gedrach fertsjinnet omtinken foar ûnderhâld. Mei AWS-inisjaasje oan is der gjin timeout: AWS bliuwt besykjen oant de tunnel omheech komt, en it begjint opnij as it customer gateway in delete-SA-berjocht stjoert. As jo de peer mei opsetsin delhelje, sil AWS trochgean mei klopjen, en de logboeken fan 'e peer sille dat sjen litte.
Kontrolearje it paad fan de app, net allinnich de steat fan 'e tunnel
In tunnel dy't up rapportearret is net itselde as in oanfraach dy't wurket. In Lambda-funksje oan in VPC hat noch hieltyd in subnet-rûte nei it foarheaksel fan 'e klant nedich, security group- en network ACL-regels dy't it ferkear tastean, namme-oplossing dy't it goede adres weromjout, en in werompaad oan 'e klantkant.
Test ien kear mei in echte oanfraach út 'e kontekst fan 'e app, en lês dan de flow logs as it mislearret. Keepalive-ferkear is in legitime opsje as AWS-inisjaasje út is en in idle tunnel pakketten nedich hat om oerein te bliuwen, mar it moat in monitoringsbeslissing wêze dy't jo beneame kinne, net in ûnferklearre ping-lus dy't oan in funksje fêstskroeve is.
Kies earst wa't de tunnel oanleit, en diagnostisearje dan de oerbleaune flater op syn eigen laach. De AWS-dokumintaasje oer inisjaasje behannelet de easken foar adres, identiteit en werprobearjen yn mear detail as de oanwizings yn 'e konsole.