Conas a dhéanamh ar AWS tús a chur le tollán Site-to-Site VPN
Freagraíonn gníomh tosaithe agus gníomh teoic DPD ceisteanna éagsúla. Socraigh an ceann a chuireann ar AWS tosú, ansin seiceáil seoladh an phiara agus bealach an fheidhmchláir.
De réir réamhshocraithe, fanann AWS Site-to-Site VPN go dtí go dtosaíonn an customer gateway an chaibidlíocht. Is socrú é an réamhshocrú sin, ní dlí, agus tugtar Startup action ar an socrú. Sula mbaineann tú leis, scar dhá cheist a chumaisctear go leanúnach: cé a shocraíonn an tollán, agus an bhfuil bealach tríd ag na paicéid a bhfuil suim agat iontu. Níl i roghanna an tolláin ach an chéad cheann de na ceisteanna sin.
Scar an ghníomh tosaithe ó ghníomh teoic DPD
Rialaíonn dhá rogha in aghaidh an tolláin dhá imeacht éagsúla, agus ní deir socrú ceann acu aon rud faoin gceann eile.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Más gá d'AWS tollán nua nó athraithe a thógáil, roghnaigh start. Más gá d'AWS an chaibidlíocht a atosú freisin tar éis teoic DPD, cumraigh restart don imeacht sin ar leithligh. Ní polasaí ath-iarratais don fheidhmchlár ceachtar den dá rogha, agus ní idir eatarthu athrú eochrach ceachtar acu: seiceálann DPD an bhfuil an piara beo, agus cuireann athrú eochrach in ionad na security associations ar thollán beo.
Feidhmchlár a théann thar am agus an tollán fós ag tuairisciú up, tá fadhb bealaigh sonraí aige. Ní réiteoidh rútú an chomhairimh DPD é, agus d'fhéadfadh sé corraí a chur leis a chaithfidh tú a mhíniú níos déanaí.
Seiceáil go bhfuil áit éigin ag AWS chun an chaibidlíocht a sheoladh
Ní féidir le tús ó thaobh AWS ach le IKEv2, agus tá seoladh poiblí an customer gateway ag teastáil ó AWS chun a fhios aige cá seolfar an tairiscint. Is é an cás a ghoilleann ná acmhainn customer gateway atá fíordheimhnithe le teastas a cruthaíodh gan seoladh: déanann doiciméadú AWS cur síos ar acmhainn nua customer gateway a chruthú leis an seoladh agus ansin an nasc VPN a mhodhnú chun pointeáil chuici.
Cruthaíonn teastas cé hé an piara. Ní insíonn sé d'AWS cá bhfuil an piara, agus is dhá riachtanas éagsúla iad sin. Sin é an fáth gurb é an leigheas acmhainn nua customer gateway seachas teastas nua. Má mhalartaítear an teastas, fágtar AWS leis an sprioc chéanna atá ar iarraidh.
Má tá an customer gateway taobh thiar de NAT, tá responder identity cumraithe ag teastáil ó AWS freisin, IDr, ionas go mbeidh féiniúlacht an phiara ag teacht leis an méid a bhfuil súil ag an bhfeiste leis. Deimhnigh an luach sin agus an bealach balla dóiteáin a ligeann trácht IKE isteach sula gcuireann tú an locht ar an rogha a d'athraigh tú díreach. Ní féidir le roghnú start a chur ar phiara nach féidir a bhaint amach nó atá mí-aithnithe glacadh le tairiscint.
Cuir an t-athrú i bhfeidhm ar aon tollán amháin agus bí ag súil le cur isteach
Tá dhá thollán ag nasc VPN le roghanna neamhspleácha, mar sin deimhnigh cé acu atá á chur in eagar agat de réir a sheoladh seachtrach. Ceadaíonn AWS tollán amháin a mhodhnú ag an am, agus féadtar an nascacht thar an tollán roghnaithe a bhriseadh ar feadh roinnt nóiméad.
- Roghnaigh an nasc Site-to-Site VPN agus oscail Modify VPN tunnel options.
- Roghnaigh an tollán de réir an tseoladh IP seachtraigh agus deimhnigh a leagan IKE agus an acmhainn customer gateway.
- Socraigh na gníomhartha tosaithe agus DPD a theastaíonn uait i ndáiríre, ansin sábháil le linn fuinneoige a rialaíonn tú.
- Deimhnigh go socraítear an tollán modhnaithe, agus seiceáil an tollán eile agus an ródú roimh an gcéad athrú eile.
Tá iompar amháin a thuililleann aird roimh chothabháil. Le tús AWS cumasaithe níl aon teoic ann: leanann AWS ag iarraidh go n-éiríonn an tollán, agus atosaíonn sé nuair a sheolann an customer gateway teachtaireacht delete-SA. Má thógann tú an piara síos d'aon ghnó, leanfaidh AWS ag cnagadh, agus taispeánfaidh logaí an phiara é.
Fíoraigh bealach an fheidhmchláir, ní hamháin staid an tolláin
Ní ionann tollán a thuairiscíonn up agus iarratas a oibríonn. Teastaíonn bealach subnet chuig réimír an chliaint ó fheidhm Lambda atá ceangailte le VPC fós, chomh maith le rialacha security group agus network ACL a cheadaíonn an trácht, réiteach ainmneacha a thugann an seoladh ceart ar ais, agus bealach ar ais ar thaobh an chliaint.
Tástáil uair amháin le fíoriarratas ó chomhthéacs an fheidhmchláir, ansin léigh na flow logs má theipeann air. Is rogha dlisteanach é trácht keepalive nuair a bhíonn tús AWS as agus go dteastaíonn paicéid ó thollán díomhaoin chun fanacht suas, ach ba chóir gur cinneadh monatóireachta é ar féidir leat a ainmniú, ní lúb ping gan mhíniú atá boltaithe ar fheidhm.
Roghnaigh cé a shocraíonn an tollán ar dtús, ansin déan diagnóisiú ar an teip atá fágtha ar a shraith féin. Clúdaíonn doiciméadú AWS ar an tús na riachtanais seolta, féiniúlachta agus ath-iarratais níos mionsonraithe ná na leideanna sa chonsól.