Ograničenja Cloud VPN-a koja ne možete podesiti: IKE životni vijek i NAT druge strane

Dajte udaljenom uređaju životni vijek faze 1 od 24 sata i tunel Cloud VPN-a ostaje pao, iako je sve na Googleovoj strani ispravno konfigurirano. Druga strana predlaže vrijednost koju odgovarač neće prihvatiti, pa pregovor ili posve propada ili se beskonačno ponovno pokreće. Cloud VPN ograničava fazu 1 na 36,000 sekundi, deset sati, a to ograničenje nije postavka koju možete podići. Promjena pripada udaljenom uređaju.

Druga strana pita, odgovarač odlučuje

IKE je vježba usklađivanja između dva skupa prijedloga. Tunel nastaje samo ondje gdje se skupovi preklapaju unutar granica koje odgovarač prihvaća, i zato životni vijek izvan raspona ne stvara nikakav djelomični tunel. Uobičajena je pogreška tretirati konfiguraciju druge strane kao popis želja, a ne kao prijedlog. Prazan presjek ostavlja tunel palim, koliko god su usmjeravanje i selektori ispravni.

Pročitajte vlastito stanje tunela prije otvaranja slučaja, jer detaljni status obično imenuje fazu koja je propala:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Usporedite ono što se vrati s podržanim skupom za vaš tip pristupnika i verziju IKE-a te zapišite oba selektora prometa dok ste ondje. Nesklad selektora daje isti simptom palog tunela kao nesklad algoritma, a za razliku od algoritma, ovaj je vaš za popravak.

36,000 sekundi je gornja granica

Faza 1 zaustavlja se na 36,000 sekundi. Uređaj podešen na 86,400 traži nešto s čime se odgovarač nikada neće složiti, a ponovni pokušaj ne mijenja njegovo mišljenje. Vratite udaljeni prijedlog unutar raspona i ista se konfiguracija uspostavlja; asimetrija je cijela lekcija, jer svoju vrijednost možete sniziti, a Googleovu ne možete podići.

Zapišite odabranu vrijednost u projektne bilješke. Inače sljedeći inženjer ponovi eksperiment od 24 sata i dođe do istog zida.

Podržani skup objavljuje se po tipu pristupnika i verziji IKE-a u pregledu Cloud VPN-a, pa čitajte dio za svoju topologiju, a ne opći IKE vodič.

Tunel koji pada po rasporedu

Faza 2 ponaša se drukčije: kada se dva kraja ne slažu, obnavljanje ključeva slijedi kraći interval. Druga strana koja nesklad smatra kobnim umjesto toga obara tunel, pa jedan nesklad može izgledati kao dva nepovezana kvara. Pazite na ritam obnavljanja ključeva, ne samo na prvo povezivanje. Tunel koji se podigne i zatim pada u redovnom taktu češće je nesklad životnog vijeka nego kvar usmjeravanja.

Povežite te vremenske oznake pada s vlastitim zapisima druge strane prije bilo kakve izmjene, jer promjena selektora ili rute može oponašati isti ritam. Ako se takt poklapa s tajmerom faze 2, uzrok je nađen bez diranja prijedloga.

Skupovi dolaze iz tipa pristupnika

Skupovi šifriranja i cjelovitosti nisu profil po tunelu koji uređujete kako vam strongSwan dopušta. Birate ih po tipu pristupnika i verziji IKE-a, a traženje profila koji ne postoji gubi jedno poslijepodne.

Stari uređaj koji ne nudi ništa unutar podržanog skupa ostavlja dva poštena puta: zamijenite uređaj ili završite na softverskom pristupniku koji kontrolirate i odande usmjerite u VPC. Sve ostalo je zaobilazno rješenje koje pada na sljedećem pregledu.

Jedna vanjska adresa po uređaju

Vanjska adresa druge strane mora se preslikavati jedan-na-jedan na njezinu unutarnju adresu. Preopterećen PAT bazen ne može raditi, jer nekoliko domaćina iza jedne javne adrese ne daje odgovaraču način da ih razdvoji. Gdje nekoliko domaćina mora dijeliti adresu, tunel mora završiti negdje što ih može razlikovati.

Držite i tu vanjsku adresu stabilnom. Premjestite uređaj iza drugog NAT-a i veza se prekida iako se svaki prijedlog još uvijek poklapa. Vrijedi zapisati koje su vrijednosti Googleove, a koje vaše: životni vijekovi, skupovi i NAT jedan-na-jedan fiksni su na njihovoj strani, dok su prijedlozi, selektori, usmjeravanje i BGP prioriteti vaši.