AWS VPN PSK rotálása: melyik alagút esik ki, és mikor

Az alagút abban a pillanatban kiesik, amikor a két végpont nem ért egyet a megosztott kulcsban, és lent marad, amíg mindkét oldal nem hordozza az új értéket. Ez a rész várható: az AWS a változást a kiválasztott alagút megszakításaként kezeli, és a partner nem fejezi be az IKE-t, amíg a kulcsok eltérnek. Amit az emberek meglepőnek találnak, az a második fele. A másik alagút nem veszi át magától a forgalmat, hacsak nem ellenőrizte, hogy el tudja-e vinni. Rotáljon ebben a sorrendben, és a kiesés egy alagúton belül marad.

Mi történik valójában, amikor a kulcs megváltozik

A ModifyVpnTunnelOptions újraírja egy alagút beállításait, amelyet a külső IP-címe azonosít. Az alagutat lebontja és újraépíti, így az IKE és az IPsec elölről tárgyal az új kulccsal. Az AWS szerint a megszakítás több percig is tarthat, ami elég hosszú ahhoz, hogy egy útválasztási protokoll észrevegye. Az ugyanabban a kapcsolatban lévő másik alagutat a hívás nem érinti.

Van egy második hatás, amelyet érdemes tudni, mielőtt bármit küldene. A módosítási művelet a teljes alagútbeállítás-készletet átveszi, ezért a kihagyott mező az alapértékével íródik vissza. Ha módosította az 1. vagy a 2. fázis élettartamát, vagy a halott partner észlelésének beállításait, adja át a jelenlegi értékeket ugyanabban a kérésben, vagy tervezze meg a későbbi visszaállításukat.

Először olvassa ki a jelenlegi értékeket, majd módosítson egy mezőt. Ez a sorrend a feladat teljes fegyelme.

Először párosítsa az AWS-alagutat a megfelelő partnerhez

A konzol sorrend szerint címkézi az alagutakat, és az eszköze nem ezt a címkét használja. A külső IP-címe alapján azonosítsa az alagutat, és párosítsa az ügyfélátjáró partner szakaszával. Az 1. alagút egy helyi konfigurációban nem bizonyíték arra, hogy azt az alagutat szerkeszti, amelyet az AWS 1. alagútnak nevez.

Kezdje magával a kapcsolattal, amely felsorolja mindkét alagutat és az aktuálisan birtokolt kulcsot:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

A visszakapott kulcs a jelenleg használt kulcs. Hasonlítsa össze a partner konfigurációjával, mielőtt bármit módosítana, mert egy már fennálló eltérés megmagyaráz egy soha nem stabil alagutat.

Először hagyja, hogy a másik alagút vigye a forgalmat

Két alagút egy kapcsolatban nem bizonyítja, hogy az eszköze mindkettőt beállította, hogy mindkettő hirdeti a szükséges előtagokat, vagy hogy a forgalom átjár közöttük. Ellenőrizze a tartalék alagút tárgyalását, útvonalait és egy valódi alkalmazásfolyamot mindkét irányban. BGP esetén az élő szomszédság hasznos bizonyíték, de nem ugyanaz, mint az előtagok megerősítése. Statikus útválasztásnál erősítse meg, hogyan választja az átjáró az útvonalat, és mit tesz, amikor az előnyben részesített eltűnik.

Ha a tartalék nem tudja vinni a terhelést, ütemezze a kiesést, vagy javítsa meg a tartalék alagutat, mielőtt a kulcshoz nyúl. A konzololdalon lévő állapotjelző fény nem ígéret a megszakítás nélküli szolgáltatásra.

Rotáljon egy alagutat, majd ellenőrizze valódi forgalommal

Ha a tartalék útvonal bizonyított, a sorrend rövid. Jegyezze fel az alagút címét, a partnerét és a nem titkos beállításokat, és tartson fenn egy felügyeleti útvonalat az átjáróhoz, amely nem függ attól az alagúttól, amelyet hamarosan elszakít.

1. Frissítse az ügyfélátjáró partnerét a kiválasztott külső címhez, vagy készítse elő a változtatást, hogy az API-hívás után másodpercekkel életbe lépjen.
2. Küldje el a módosítási hívást az új kulccsal, valamint a jelenlegi élettartamokkal és DPD-értékekkel.
3. Várja meg, amíg az IKE és az IPsec visszatér, majd erősítse meg az útvonalakat és a szükséges előtagokat.
4. Küldjön egy reprezentatív alkalmazásfolyamot azon az alagúton át, és figyelje mindkét irányt.

Az alagút használhatatlan, amíg a végpontok nem értenek egyet, és amíg az AWS alkalmazza a módosítást, ezért a partner frissítésének azonnal következnie kell, nem ebéd után. Csak akkor ismételje meg az eljárást a másikon, ha a módosított alagút valódi forgalmat visz.

Álljon meg, ha az első alagút után a helyreállítás vagy az útválasztás még bizonytalan. Két félműködő alagút rosszabb, mint egy, amelyről tudja, hogy működik.

Amikor a helyreállítás elakad, olvassa az IKE oldalt

Az az alagút, amely lent marad, miután mindkét végpont birtokolja az új kulcsot, általában olyan házirend-eltérés, amelyet a rotálás feltárt, nem pedig létrehozott. A javaslatoknak, a partner által küldött identitásnak és a forgalomválasztóknak mind egyezniük kell az AWS oldallal, és egy létrejött alagutat túlélt érték még mindig elutasítható egy új tárgyalás során. Olvassa el a tárgyalás állapotát és a hozzá csatolt üzenetet, mielőtt másodszor is módosítja a kulcsot.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Ha a változtatást vissza kell vonni, ne állítsa vissza a régi kulcsot csak azért, mert korábban működött. Kezelje a kompromittált kulcsot kompromittáltként, és inkább javítsa a tárgyalást. Fejezze be mindkét alagút ellenőrzésével és a titkok leltárának frissítésével, hogy minden partner rögzítse, melyik értéket birtokolja, és tartsa az AWS alagútbeállításairól szóló dokumentációt a runbook mellett.