Hogyan érhetjük el, hogy az AWS elindítsa a Site-to-Site VPN alagutat
Az indítási művelet és a DPD időtúllépési művelet különböző kérdésekre válaszol. Állítsa be azt, amelytől az AWS kezdeményez, majd ellenőrizze a partner címét és az alkalmazás útvonalát.
Alapértelmezés szerint az AWS Site-to-Site VPN arra vár, hogy a customer gateway elindítsa az egyeztetést. Ez az alapértelmezés egy beállítás, nem törvény, és a beállítás neve Startup action. Mielőtt ehhez nyúlna, válasszon szét két kérdést, amelyeket folyton összekevernek: ki építi fel az alagutat, és van-e útvonala rajta keresztül azoknak a csomagoknak, amelyek érdeklik. Csak az első lakik az alagút beállításaiban.
Válassza szét az indítási műveletet a DPD időtúllépési műveletétől
Alagútonként két beállítás két különböző eseményt szabályoz, és az egyik beállítása semmit nem mond a másikról.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ha az AWS-nek új vagy módosított alagutat kell felépítenie, válassza a start. Ha az AWS-nek a DPD időtúllépés után újra kell indítania az egyeztetést, állítsa be a restart beállítást külön erre az eseményre. Egyik beállítás sem az alkalmazás újrapróbálkozási szabálya, és egyik sem kulcscsere-intervallum: a DPD azt ellenőrzi, hogy a partner él-e, míg a kulcscsere a security associations elemeket cseréli ki egy élő alagúton.
Az az alkalmazás, amely időtúllépést kap, miközben az alagút még up állapotot jelent, adatút-problémával küzd. A DPD időzítő rövidítése nem javítja meg, és olyan nyugtalanságot okozhat, amelyet később meg kell magyaráznia.
Ellenőrizze, hogy az AWS-nek van hová elküldenie az egyeztetést
Az AWS oldali kezdeményezés csak IKEv2-vel működik, és az AWS-nek szüksége van a customer gateway nyilvános címére, hogy tudja, hová küldje a javaslatot. Az az eset fáj igazán, amikor egy tanúsítvánnyal hitelesített customer gateway erőforrás cím nélkül jön létre: az AWS dokumentációja azt írja le, hogy új customer gateway erőforrást kell létrehozni a címmel, majd a VPN-kapcsolatot rá kell átirányítani.
A tanúsítvány azt bizonyítja, ki a partner. Azt nem mondja meg az AWS-nek, hol van a partner, és ez két külön követelmény. Ezért a megoldás új customer gateway erőforrás, nem új tanúsítvány. A tanúsítvány cseréje ugyanazzal a hiányzó céllal hagyja az AWS-t.
Ha a customer gateway NAT mögött van, az AWS-nek konfigurált responder identity-re is szüksége van, IDr, hogy a partner identitása egyezzen azzal, amit az eszköz elvár. Erősítse meg ezt az értéket és a tűzfal útvonalát, amely átengedi az IKE-forgalmat, mielőtt az imént módosított beállítást hibáztatná. A start választása nem tudja rávenni egy elérhetetlen vagy rosszul azonosított partnert a javaslat elfogadására.
Alkalmazza a módosítást egy alagútra, és számítson megszakításra
Egy VPN-kapcsolatnak két alagútja van független beállításokkal, ezért a külső cím alapján erősítse meg, melyiket szerkeszti. Az AWS egyszerre egy alagút módosítását engedi, és a kiválasztott alagúton a kapcsolat több percre megszakadhat.
- Válassza ki a Site-to-Site VPN kapcsolatot, és nyissa meg a Modify VPN tunnel options menüpontot.
- Válassza ki az alagutat a külső IP-cím alapján, és erősítse meg az IKE-verzióját és a customer gateway erőforrást.
- Állítsa be a ténylegesen kívánt indítási és DPD műveleteket, majd mentse egy Ön által vezérelt időablakban.
- Erősítse meg, hogy a módosított alagút felépül, és a következő módosítás előtt ellenőrizze a másik alagutat és az útvonalválasztást.
Egy viselkedés figyelmet érdemel a karbantartás előtt. Bekapcsolt AWS-kezdeményezés esetén nincs időtúllépés: az AWS addig próbálkozik, amíg az alagút fel nem áll, és újrakezdi, amikor a customer gateway delete-SA üzenetet küld. Ha szándékosan lekapcsolja a partnert, az AWS tovább kopogtat, és a partner naplói ezt mutatni fogják.
Az alkalmazás útvonalát ellenőrizze, ne csak az alagút állapotát
Az up állapotot jelentő alagút nem ugyanaz, mint egy működő kérés. A VPC-hez kapcsolt Lambda-függvénynek továbbra is kell subnet útvonal az ügyfél prefixéhez, a forgalmat engedélyező security group és network ACL szabályok, a helyes címet visszaadó névfeloldás, és visszaút az ügyfél oldalán.
Tesztelje egyszer valódi kéréssel az alkalmazás környezetéből, majd hiba esetén olvassa el a flow logs bejegyzéseket. A keepalive forgalom jogos lehetőség, ha az AWS-kezdeményezés ki van kapcsolva, és egy tétlen alagútnak csomagokra van szüksége a fennmaradáshoz, de ez olyan monitorozási döntés legyen, amelyet meg tud nevezni, nem pedig egy megmagyarázatlan ping-hurok a függvényre csavarozva.
Először válassza ki, ki építi fel az alagutat, majd diagnosztizálja a fennmaradó hibát a saját rétegén. Az AWS kezdeményezésről szóló dokumentációja részletesebben tárgyalja a címre, identitásra és újrapróbálkozásra vonatkozó követelményeket, mint a konzol tippjei.