Yadda za a sa AWS ta fara tunnel na Site-to-Site VPN
Aikin farawa da aikin ƙarewar lokaci na DPD suna amsa tambayoyi daban-daban. Saita wanda zai sa AWS ta fara, sannan duba adireshin abokin haɗi da hanyar manhajar.
A bisa ka'ida, AWS Site-to-Site VPN tana jira har customer gateway ta fara tattaunawa. Wannan ka'ida saiti ce, ba doka ba, kuma ana kiran saitin Startup action. Kafin ka kai hannu zuwa gare shi, raba tambayoyi biyu da ake haɗawa kullum: wanene ke kafa tunnel ɗin, da kuma ko fakitin da kake damu da su suna da hanya ta cikinsa. Na farko ne kaɗai ke cikin zaɓuɓɓukan tunnel.
Raba aikin farawa daga aikin ƙarewar lokaci na DPD
Zaɓuɓɓuka biyu na kowane tunnel suna jagorantar al'amura biyu daban-daban, kuma saita ɗaya ba ya faɗin komai game da ɗayan.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Idan ya kamata AWS ta kafa sabon tunnel ko wanda aka canza, zaɓi start. Idan kuma ya kamata AWS ta sake fara tattaunawa bayan ƙarewar lokacin DPD, saita restart don wannan al'amari daban. Babu ɗayan zaɓin da ke manufar sake gwadawa ta manhaja, kuma babu ɗayan da ke tazarar musanya maɓalli: DPD tana duba ko abokin haɗi yana raye, yayin da musanya maɓalli ke maye gurbin security associations a kan tunnel mai aiki.
Manhajar da lokacinta ya ƙare yayin da tunnel ɗin har yanzu yana bayar da rahoton up, tana da matsalar hanyar data. Rage lokacin DPD ba zai gyara hakan ba, kuma yana iya ƙara hargitsi da za ka bayyana daga baya.
Duba cewa AWS tana da inda za ta aika tattaunawar
Farawa daga ɓangaren AWS tana yiwuwa ne kawai da IKEv2, kuma AWS na buƙatar adireshin jama'a na customer gateway don sanin inda za a aika shawarar. Halin da ya fi ciwo shi ne albarkatun customer gateway da aka tabbatar da su da takardar shaida da aka ƙirƙira ba tare da adireshi ba: takardun AWS sun bayyana ƙirƙirar sabon albarkatun customer gateway tare da adireshin sannan canza haɗin VPN don ya nuna gare shi.
Takardar shaida tana tabbatar da wanene abokin haɗi. Ba ta gaya wa AWS inda abokin haɗi yake, kuma waɗannan buƙatu biyu ne daban-daban. Shi ya sa maganin shi ne sabon albarkatun customer gateway maimakon sabuwar takardar shaida. Musanya takardar shaida yana barin AWS da wannan maƙasudin da ya ɓace.
Idan customer gateway tana bayan NAT, AWS kuma tana buƙatar responder identity da aka saita, IDr, domin asalin abokin haɗi ya dace da abin da na'urar ke tsammani. Tabbatar da wannan ƙimar da hanyar wutar bango da ke ba da izinin zirga-zirgar IKE kafin ka zargi zaɓin da ka canza yanzu. Zaɓin start ba zai iya tilasta abokin haɗi da ba a iya samun sa ko ba a gane shi daidai ba ya karɓi shawara.
Aiwatar da canjin a kan tunnel ɗaya kuma ka yi tsammanin katsewa
Haɗin VPN yana da tunnels biyu da zaɓuɓɓuka masu zaman kansu, don haka tabbatar da wanda kake gyara ta adireshinsa na waje. AWS tana ba da izinin canza tunnel ɗaya a lokaci ɗaya, kuma haɗin kan tunnel ɗin da aka zaɓa na iya katsewa na wasu mintuna.
- Zaɓi haɗin Site-to-Site VPN ka buɗe Modify VPN tunnel options.
- Zaɓi tunnel ɗin bisa adireshin IP na waje ka tabbatar da sigar IKE da albarkatun customer gateway.
- Saita ayyukan farawa da DPD da kake so da gaske, sannan ka adana a cikin wani lokaci da kake sarrafawa.
- Tabbatar cewa tunnel ɗin da aka canza ya kafu, sannan duba ɗayan tunnel da hanyoyi kafin canji na gaba.
Hali ɗaya ya cancanci kulawa kafin aikin kulawa. Idan an kunna farawa daga AWS babu ƙarewar lokaci: AWS na ci gaba da ƙoƙari har tunnel ɗin ya tashi, kuma tana sake farawa idan customer gateway ta aika saƙon delete-SA. Idan ka saukar da abokin haɗi da gangan, AWS za ta ci gaba da ƙwanƙwasa, kuma bayanan abokin haɗi za su nuna hakan.
Tabbatar da hanyar manhajar, ba kawai yanayin tunnel ba
Tunnel da ke bayar da rahoton up ba ɗaya yake da buƙatar da ke aiki ba. Aikin Lambda da ke manne da VPC har yanzu yana buƙatar hanyar subnet zuwa prefix na abokin ciniki, ka'idojin security group da network ACL da ke ba da izinin zirga-zirga, warware suna da ke mayar da adireshin da ya dace, da hanyar dawowa a ɓangaren abokin ciniki.
Gwada sau ɗaya da ainihin buƙata daga mahallin manhajar, sannan ka karanta flow logs idan ya kasa. Zirga-zirgar keepalive zaɓi ne halal idan farawa daga AWS a kashe kuma tunnel marar aiki yana buƙatar fakiti don ya tsaya, amma ya kamata ya zama shawarar sa ido da za ka iya ambata, ba madauki na ping da ba a bayyana ba da aka ɗora a kan aiki.
Zaɓi wanene zai kafa tunnel ɗin da farko, sannan ka bincika sauran gazawar a matakinta. Takardun AWS game da farawa sun rufe buƙatun adireshi, asali da sake gwadawa dalla-dalla fiye da alamun console.