PSK AWS VPN a rothlú: cén tollán a thiteann, agus cathain

Titeann an tollán an nóiméad nach n-aontaíonn an dá cheann faoin eochair roinnte roimh ré, agus fanann sé síos go dtí go n-iompraíonn an dá thaobh an luach nua. Tá an chuid sin ag súil leis: measann AWS an t-athrú mar bhriseadh ar an tollán roghnaithe, agus ní chríochnóidh an piara IKE fad a bheidh na heochracha difriúil. Is é an dara leath a chuireann iontas ar dhaoine. Ní ghlacann an tollán eile an trácht air féin mura bhfuil seiceáilte agat gur féidir leis é a iompar. Rothlaigh san ord seo agus fanfaidh an briseadh laistigh de thollán amháin.

Cad a tharlaíonn i ndáiríre nuair a athraíonn an eochair

Athscríobhann ModifyVpnTunnelOptions roghanna tolláin amháin, a aithnítear trína sheoladh IP seachtrach. Déantar an tollán a leagan agus a atógáil, mar sin déanann IKE agus IPsec idirbheartaíocht ón tús leis an eochair nua. Deir AWS gur féidir leis an mbriseadh maireachtáil ar feadh roinnt nóiméad, rud atá fada go leor le go dtabharfadh prótacal ródaithe faoi deara é. Ní dhéanann an glao difear don tollán eile sa nasc céanna.

Tá dara éifeacht ann ar fiú í a bheith ar eolas agat sula seolann tú aon rud. Tógann an oibríocht mhionathraithe an tsraith iomlán roghanna tolláin, mar sin scríobhtar réimse a fhágtar ar lár ar ais lena luach réamhshocraithe. Má tá saolréanna chéim 1 nó chéim 2, nó socruithe braite piara mhairbh, coigeartaithe agat, cuir na luachanna reatha ar aghaidh san iarratas céanna nó pleanáil iad a athchóiriú ina dhiaidh sin.

Léigh na luachanna reatha ar dtús, ansin athraigh réimse amháin. Is é an t-ord sin go léir de dhisciplín na tasc seo.

Meaitseáil tollán AWS leis an bpiara ceart ar dtús

Lipéadaíonn an consól tolláin de réir ord, agus ní úsáideann do ghléas an lipéad sin. Aithnigh an tollán trína sheoladh IP seachtrach agus meaitseáil é leis an gcuid piara ar gheata an chliaint. Ní cruthúnas é tollán 1 i gcumraíocht áitiúil go bhfuil tú ag eagrú an tolláin a dtugann AWS tollán 1 air.

Tosaigh ón nasc féin, a liostaíonn an dá thollán agus an eochair atá ag gach ceann acu faoi láthair:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Is í an eochair a fhilleann an ceann atá in úsáid anois. Déan í a chur i gcomparáid le cumraíocht an phiara sula n-athraíonn tú aon rud, mar mínionn easaontas atá ann cheana féin tollán nárbh fhéidir a bheith cobhsaí riamh.

Lig don tollán eile an trácht a iompar ar dtús

Ní chruthaíonn dhá thollán i nasc amháin go bhfuil an dá cheann cumraithe ag do ghléas, go bhfógraíonn an dá cheann na réimíreanna a theastaíonn uait, nó go mbogann trácht eatarthu. Seiceáil idirbheartaíocht an tolláin mhalartaigh, a róid agus fíorsreabhadh feidhmchláir sa dá threo. Le BGP, is fianaise úsáideach é comharsanacht bheo ach ní hionann é agus na réimíreanna a dhearbhú. Le ródú statach, dearbhaigh conas a roghnaíonn an geata an cosán agus cad a dhéanann sé nuair a imíonn an ceann is fearr.

Mura féidir leis an malartach an t-ualach oibre a iompar, sceideal an briseadh nó deisigh an tollán malartach sula dteagmhaíonn tú leis an eochair. Ní gealltanas seirbhíse gan bhriseadh é solas stádais ar leathanach consóil.

Rothlaigh tollán amháin, ansin fíoraigh le fíortrácht

Nuair a bheidh an cosán malartach cruthaithe, tá an t-ord gairid. Taifead seoladh an tolláin, a phiara agus na socruithe nach rúin iad, agus coinnigh cosán bainistíochta chuig an geata nach mbraitheann ar an tollán a bhfuil tú ar tí a bhriseadh.

1. Nuashonraigh piara gheata an chliaint don seoladh seachtrach roghnaithe, nó ullmhaigh an t-athrú le go dtiocfaidh sé i bhfeidhm soicindí tar éis ghlao an API.
2. Seol an glao mionathraithe leis an eochair nua móide na saolréanna agus na luachanna DPD reatha.
3. Fan go dtiocfaidh IKE agus IPsec ar ais, ansin dearbhaigh na róid agus na réimíreanna riachtanacha.
4. Brúigh sreabhadh feidhmchláir ionadaíoch tríd an tollán sin agus breathnaigh ar an dá threo.

Tá an tollán neamhúsáidte fad a bhíonn na cinn gan aontú agus fad a chuireann AWS an mhionathrú i bhfeidhm, mar sin caithfidh nuashonrú an phiara teacht láithreach seachas i ndiaidh lóin. Ná déan an nós imeachta a athdhéanamh ar an gceann eile ach amháin nuair a iompraíonn an tollán athraithe fíortrácht.

Stop má tá aisghabháil nó ródú fós neamhchinnte tar éis an chéad tolláin. Tá dhá thollán leath-oibreacha níos measa ná ceann amháin a bhfuil a fhios agat a oibríonn.

Nuair a chloíonn an aisghabháil, léigh taobh IKE

Is éard is tollán a fhanann síos tar éis don dá cheann an eochair nua a shealbhú de ghnáth ná easaontas beartais a nocht an rothlú seachas a chruthaigh. Caithfidh na tograí, an chéannacht a sheolann an piara agus na roghnóirí tráchta teacht le taobh AWS, agus is féidir luach a mhair tollán bunaithe a dhiúltú fós le linn idirbheartaíochta nua. Léigh stádas na hidirbheartaíochta agus an teachtaireacht atá ceangailte leis sula n-athraíonn tú an eochair den dara huair.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Mura mór an t-athrú a chealú, ná cuir an tseaneochair ar ais díreach mar gheall go n-oibrigh sí roimhe seo. Caith le heochair chomhréitithe mar cheann comhréitithe agus deisigh an idirbheartaíocht ina ionad. Críochnaigh leis an dá thollán fíoraithe agus an fhardal rún nuashonraithe ionas go dtaifeadann gach piara cén luach atá aige, agus coinnigh doiciméadú roghanna tolláin AWS in aice leis an runbook.