Ինչպես ստիպել AWS-ին սկսել Site-to-Site VPN թունելը
Մեկնարկի գործողությունը և DPD-ի ժամկետի գործողությունը պատասխանում են տարբեր հարցերի։ Սահմանեք այն, որը ստիպում է AWS-ին նախաձեռնել, ապա ստուգեք գործընկերոջ հասցեն և հավելվածի երթուղին։
Լռելյայն AWS Site-to-Site VPN-ը սպասում է, որ customer gateway-ը սկսի բանակցությունը։ Այդ լռելյայնը կարգավորում է, ոչ օրենք, և կարգավորման անունը Startup action է։ Մինչ դրան դիմելը, առանձնացրեք երկու հարց, որոնք անընդհատ խառնվում են՝ ով է կառուցում թունելը, և արդյոք ձեզ հետաքրքրող փաթեթներն ունեն դրա միջով երթուղի։ Միայն առաջինն է գտնվում թունելի պարամետրերում։
Առանձնացրեք մեկնարկի գործողությունը DPD-ի ժամկետի գործողությունից
Յուրաքանչյուր թունելի երկու պարամետր ղեկավարում են երկու տարբեր իրադարձություն, և մեկը դնելը ոչինչ չի ասում մյուսի մասին։
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Եթե AWS-ը պետք է կառուցի նոր կամ փոփոխված թունել, ընտրեք start։ Եթե AWS-ը պետք է նաև վերսկսի բանակցությունը DPD-ի ժամկետից հետո, առանձին կարգավորեք restart այդ իրադարձության համար։ Ոչ մի պարամետր հավելվածի կրկնափորձի քաղաքականություն չէ, և ոչ մեկը բանալու փոխարինման միջակայք չէ. DPD-ն ստուգում է՝ գործընկերը կենդանի է, մինչ բանալու փոխարինումը փոխարինում է security associations-ը աշխատող թունելում։
Հավելվածը, որը ժամկետանց է դառնում, մինչ թունելը դեռ ցույց է տալիս up, տվյալների ուղու խնդիր ունի։ DPD-ի ժամաչափի կրճատումը դա չի շտկի և կարող է աղմուկ ավելացնել, որը հետո պետք է բացատրեք։
Ստուգեք, որ AWS-ը տեղ ունի բանակցությունն ուղարկելու
AWS-ի կողմից նախաձեռնումը հնարավոր է միայն IKEv2-ով, և AWS-ին պետք է customer gateway-ի հանրային հասցեն՝ իմանալու, թե ուր ուղարկել առաջարկը։ Ամենացավոտ դեպքը հասցե չունեցող վկայականով նույնականացված customer gateway ռեսուրսն է. AWS-ի փաստաթղթերը նկարագրում են հասցեով նոր customer gateway ռեսուրս ստեղծելը, ապա VPN կապը դրա վրա ուղղելը։
Վկայականն ապացուցում է, թե ով է գործընկերը։ Այն չի ասում AWS-ին, թե որտեղ է գործընկերը, և դրանք երկու տարբեր պահանջներ են։ Դրա համար լուծումը նոր customer gateway ռեսուրսն է, ոչ նոր վկայականը։ Վկայականը փոխելը AWS-ին թողնում է նույն բացակայող նպատակակետի հետ։
Եթե customer gateway-ը NAT-ի հետևում է, AWS-ին անհրաժեշտ է նաև կարգավորված responder identity, IDr, որպեսզի գործընկերոջ ինքնությունը համապատասխանի այն, ինչ սարքը սպասում է։ Հաստատեք այդ արժեքը և IKE երթևեկությունը թույլատրող հրակարգի ուղին, նախքան հենց նոր փոխած պարամետրին մեղադրելը։ start ընտրելը չի կարող ստիպել անհասանելի կամ սխալ նույնացված գործընկերոջը ընդունել առաջարկը։
Կիրառեք փոփոխությունը մեկ թունելի վրա և սպասեք ընդհատման
VPN կապն ունի երկու թունել՝ անկախ պարամետրերով, ուստի արտաքին հասցեով հաստատեք, թե որն եք խմբագրում։ AWS-ը թույլ է տալիս միաժամանակ փոխել մեկ թունել, և ընտրված թունելով կապը կարող է ընդհատվել մի քանի րոպեով։
- Ընտրեք Site-to-Site VPN կապը և բացեք Modify VPN tunnel options-ը։
- Ընտրեք թունելը արտաքին IP հասցեով և հաստատեք դրա IKE տարբերակը և customer gateway ռեսուրսը։
- Սահմանեք այն մեկնարկի և DPD գործողությունները, որոնք իրականում ուզում եք, ապա պահպանեք ձեր վերահսկած պատուհանում։
- Հաստատեք, որ փոփոխված թունելը կառուցվում է, և հաջորդ փոփոխությունից առաջ ստուգեք մյուս թունելն ու երթուղավորումը։
Մեկ վարքագիծ արժանի է ուշադրության սպասարկումից առաջ։ AWS-ի նախաձեռնումը միացված ժամանակ ժամկետ չկա. AWS-ը շարունակում է փորձել, մինչև թունելը բարձրանա, և նորից սկսում, երբ customer gateway-ը delete-SA հաղորդագրություն է ուղարկում։ Եթե դիտավորյալ անջատեք գործընկերոջը, AWS-ը կշարունակի թակել, և գործընկերոջ մատյանները դա ցույց կտան։
Ստուգեք հավելվածի ուղին, ոչ միայն թունելի վիճակը
up ցույց տվող թունելը նույնը չէ, ինչ աշխատող հարցումը։ VPC-ին միացված Lambda ֆունկցիային դեռ պետք է subnet երթուղի դեպի հաճախորդի նախածանցը, երթևեկությունը թույլատրող security group և network ACL կանոններ, ճիշտ հասցե վերադարձնող անվանալուծում և վերադարձի ուղի հաճախորդի կողմում։
Մեկ անգամ փորձարկեք իրական հարցումով հավելվածի համատեքստից, ապա ձախողման դեպքում կարդացեք flow logs-ը։ Keepalive երթևեկությունը օրինական տարբերակ է, երբ AWS-ի նախաձեռնումն անջատված է, և անգործ թունելին փաթեթներ են պետք մնալու համար, բայց դա պետք է լինի ձեր անվանած մոնիտորինգի որոշում, ոչ թե ֆունկցիային ամրացված անբացատրելի ping հանգույց։
Նախ ընտրեք, թե ով է կառուցում թունելը, ապա ախտորոշեք մնացած խափանումը իր իսկ շերտում։ AWS-ի փաստաթղթերը նախաձեռնման մասին ավելի մանրամասն են լուսաբանում հասցեի, ինքնության և կրկնափորձի պահանջները, քան կոնսոլի հուշումները։