Cloud VPN-korlátok, amelyeket nem lehet hangolni: IKE-élettartam és peer-NAT

Adjon a távoli eszköznek 24 órás 1. fázis élettartamot, és a Cloud VPN-alagút lent marad, pedig a Google oldalán minden helyesen van beállítva. A peer olyan értéket javasol, amelyet a válaszadó nem fogad el, ezért a tárgyalás vagy teljesen meghiúsul, vagy végtelenül újraindul. A Cloud VPN az 1. fázist 36,000 másodpercre, azaz tíz órára korlátozza, és ez a plafon nem olyan beállítás, amelyet emelhetne. A változtatás a távoli eszközre tartozik.

A peer kérdez, a válaszadó dönt

Az IKE két javaslatkészlet összeillesztésének gyakorlata. Az alagút csak ott jön létre, ahol a készletek a válaszadó által elfogadott határokon belül átfednek, ezért a tartományon kívüli élettartam egyáltalán nem hoz létre részleges alagutat. A szokásos hiba a peer konfigurációját kívánságlistaként, nem javaslatként kezelni. Az üres metszet lent tartja az alagutat, bármennyire helyes az útválasztás és a szelektorok.

Csak azután nyissa meg az ügyet, hogy elolvasta az alagút saját állapotát, mert a részletes állapot általában megnevezi a meghiúsult fázist:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Hasonlítsa össze a visszakapott értéket az átjárótípusához és IKE-verziójához tartozó támogatott készlettel, és jegyezze fel mindkét forgalomszelektort, amíg ott van. A szelektor eltérése ugyanazt a lent lévő alagút tünetet adja, mint az algoritmus eltérése, és az algoritmussal ellentétben ezt Önnek kell rendbe tennie.

36,000 másodperc a plafon

Az 1. fázis 36,000 másodpercnél megáll. A 86,400-ra állított eszköz olyasmit kér, amelybe a válaszadó soha nem egyezik bele, és az újrapróbálkozás nem változtat a döntésén. Forgassa vissza a távoli javaslatot a tartományba, és ugyanaz a konfiguráció létrejön; az aszimmetria a teljes tanulság, mert a saját értékét csökkentheti, a Google-ét viszont nem emelheti.

Írja be a választott értéket a tervezési jegyzetekbe. Különben a következő mérnök megismétli a 24 órás kísérletet, és ugyanahhoz a falhoz ér.

A támogatott készletet átjárótípusonként és IKE-verziónként a Cloud VPN áttekintésteszi közzé, ezért a topológiájához tartozó részt olvassa el, ne egy általános IKE-útmutatót.

Alagút, amely menetrend szerint leesik

A 2. fázis másként viselkedik: amikor a két vég nem ért egyet, a kulcsújítás a rövidebb intervallumot követi. Az a peer, amely az eltérést végzetesnek tekinti, inkább ledobja az alagutat, így egy eltérés két független hibának tűnhet. Figyelje a kulcsújítás ritmusát, ne csak az első kapcsolódást. Az az alagút, amely feljön, majd szabályos ütemben leesik, gyakrabban élettartam-eltérés, mint útválasztási hiba.

Kapcsolja össze azokat a leesési időbélyegeket a peer saját naplóival, mielőtt bármit módosítana, mert egy szelektor- vagy útvonalváltozás ugyanazt a ritmust utánozhatja. Ha az ütem egyezik a 2. fázis időzítőjével, az ok megtalálható anélkül, hogy bármelyik javaslathoz hozzányúlna.

A készletek az átjárótípusból származnak

A titkosítási és integritáskészletek nem alagútonkénti profilok, amelyeket a strongSwan módján szerkeszthet. Átjárótípus és IKE-verzió szerint választja ki őket, és egy nem létező profil keresése egy délutánt pazarol el.

Egy régi eszköz, amely semmit nem kínál a támogatott készleten belül, két őszinte utat hagy: cserélje le az eszközt, vagy fejezze be egy Ön által vezérelt szoftveres átjárón, és onnan irányítson a VPC-be. Minden más olyan kerülő megoldás, amely a következő felülvizsgálaton elbukik.

Egy külső cím eszközönként

A peer külső címének egy-az-egyhez kell leképeződnie a belső címére. Egy túlterhelt PAT-készlet nem működhet, mert az egyetlen nyilvános cím mögötti több gazdagép nem ad a válaszadónak módot arra, hogy szétválassza őket. Ahol több gazdagépnek meg kell osztania egy címet, az alagútnak olyan helyen kell végződnie, amely meg tudja különböztetni őket.

Tartsa azt a külső címet is stabilan. Helyezze át az eszközt egy másik NAT mögé, és a társítás megszakad, pedig minden javaslat továbbra is egyezik. Érdemes felírni, mely értékek a Google-é és melyek az Öné: az élettartamok, a készletek és az egy-az-egyhez NAT az ő oldalukon rögzítettek, míg a javaslatok, a szelektorok, az útválasztás és a BGP-prioritások az Önéi.