Cloud VPN-ի սահմանները, որոնք հնարավոր չէ կարգավորել. IKE-ի ժամկետը և peer-ի NAT-ը

Հեռավոր սարքին տվեք 24 ժամ 1-ին փուլի ժամկետ և Cloud VPN-ի թունելը կմնա ներքևում, չնայած Google-ի կողմում ամեն ինչ ճիշտ է կարգավորված։ Peer-ը առաջարկում է արժեք, որը պատասխանողը չի ընդունի, ուստի բանակցությունը կա՛մ ամբողջությամբ ձախողվում է, կա՛մ անվերջ նորից սկսվում։ Cloud VPN-ը 1-ին փուլը սահմանափակում է 36,000 վայրկյանով, այսինքն՝ տասը ժամով, և այդ սահմանը այնպիսի կարգավորում չէ, որը կարող եք բարձրացնել։ Փոփոխությունը պատկանում է հեռավոր սարքին։

Peer-ը հարցնում է, պատասխանողը որոշում է

IKE-ն երկու առաջարկների հավաքածուների համադրման վարժություն է։ Թունելը ձևավորվում է միայն այնտեղ, որտեղ հավաքածուները հատվում են պատասխանողի ընդունելի սահմաններում, և այդ պատճառով տիրույթից դուրս ժամկետը ընդհանրապես մասնակի թունել չի ստեղծում։ Սովորական սխալը peer-ի կարգավորումը ցանկությունների ցանկ համարելն է, ոչ թե առաջարկ։ Դատարկ հատումը թունելը թողնում է ներքևում, որքան էլ երթուղումը և ընտրիչները ճիշտ լինեն։

Նախքան դեպք բացելը կարդացեք հենց թունելի վիճակը, որովհետև մանրամասն կարգավիճակը սովորաբար նշում է ձախողված փուլը.

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Համեմատեք վերադարձածը ձեր դարպասի տեսակի և IKE-ի տարբերակի համար նախատեսված աջակցվող հավաքածուի հետ, և այնտեղ եղած ժամանակ գրանցեք երկու երթևեկության ընտրիչները։ Ընտրիչի անհամապատասխանությունը տալիս է նույն «թունելը ներքևում» ախտանիշը, ինչ ալգորիթմի անհամապատասխանությունը, և ի տարբերություն ալգորիթմի, այս մեկը դուք պետք է ուղղեք։

36,000 վայրկյանը վերին սահմանն է

1-ին փուլը կանգ է առնում 36,000 վայրկյանում։ 86,400-ի վրա դրված սարքը խնդրում է մի բան, որի հետ պատասխանողը երբեք չի համաձայնի, և կրկնվող փորձը չի փոխում նրա կարծիքը։ Վերադարձրեք հեռավոր առաջարկը տիրույթի ներս և նույն կարգավորումը կհաստատվի. ասիմետրիան ամբողջ դասն է, քանի որ դուք կարող եք իջեցնել ձեր արժեքը և չեք կարող բարձրացնել Google-ինը։

Գրեք ընտրված արժեքը նախագծային նշումներում։ Հակառակ դեպքում հաջորդ ինժեները կկրկնի 24-ժամյա փորձը և կհանդիպի նույն պատին։

Աջակցվող հավաքածուն հրապարակվում է յուրաքանչյուր դարպասի տեսակի և IKE-ի տարբերակի համար Cloud VPN-ի ակնարկում, ուստի կարդացեք ձեր տոպոլոգիայի բաժինը, ոչ թե ընդհանուր IKE ուղեցույց։

Թունել, որն ընկնում է ըստ ժամանակացույցի

2-րդ փուլն այլ կերպ է վարվում. երբ երկու ծայրերը համաձայն չեն, բանալիների նորացումը հետևում է ավելի կարճ միջակայքին։ Peer-ը, որը անհամապատասխանությունը համարում է ճակատագրական, փոխարենը գցում է թունելը, ուստի մեկ անհամապատասխանություն կարող է թվալ որպես երկու անկապ խափանում։ Հետևեք բանալիների նորացման ռիթմին, ոչ միայն առաջին միացմանը։ Թունելը, որը բարձրանում է և հետո պարբերաբար ընկնում, ավելի հաճախ ժամկետի անհամապատասխանություն է, քան երթուղման թերություն։

Նախքան որևէ բան փոխելը, այդ անկման ժամանակային նշանները կապակցեք peer-ի սեփական մատյանների հետ, որովհետև ընտրիչի կամ երթուղու փոփոխությունը կարող է նմանակել նույն ռիթմը։ Եթե ռիթմը համընկնում է 2-րդ փուլի ժամաչափի հետ, պատճառը գտնված է առանց առաջարկին դիպչելու։

Հավաքածուները գալիս են դարպասի տեսակից

Գաղտնագրման և ամբողջականության հավաքածուները թունելի առանձին պրոֆիլ չեն, որը խմբագրեք strongSwan-ի պես։ Դուք դրանք ընտրում եք դարպասի տեսակով և IKE-ի տարբերակով, և գոյություն չունեցող պրոֆիլ փնտրելը կորցնում է մի ամբողջ կեսօր։

Հին սարքը, որը ոչինչ չի առաջարկում աջակցվող հավաքածուի ներսում, թողնում է երկու ազնիվ ուղի. փոխարինեք սարքը, կամ ավարտեք ձեր վերահսկողության տակ գտնվող ծրագրային դարպասի վրա և այնտեղից երթուղավորեք դեպի VPC։ Մնացած ամեն ինչ շրջանցում է, որը ձախողվում է հաջորդ վերանայմանը։

Մեկ արտաքին հասցե յուրաքանչյուր սարքի համար

Peer-ի արտաքին հասցեն պետք է մեկ-ը-մեկ քարտեզագրվի նրա ներքին հասցեին։ Ծանրաբեռնված PAT լողավազանը չի կարող աշխատել, որովհետև մեկ հանրային հասցեի հետևում գտնվող մի քանի հոսթեր պատասխանողին որևէ եղանակ չեն տալիս դրանք տարանջատելու։ Այնտեղ, որտեղ մի քանի հոսթ պետք է կիսեն հասցեն, թունելը պետք է ավարտվի մի տեղ, որը կարող է տարբերել նրանց։

Այդ արտաքին հասցեն նույնպես պահեք կայուն։ Տեղափոխեք սարքը մեկ այլ NAT-ի հետև և կապը կխախտվի, չնայած յուրաքանչյուր առաջարկ դեռ համապատասխանում է։ Արժե գրի առնել, թե որ արժեքներն են Google-ինը և որոնք ձերը. ժամկետները, հավաքածուները և մեկ-ը-մեկ NAT-ը ֆիքսված են նրանց կողմում, մինչդեռ առաջարկները, ընտրիչները, երթուղումը և BGP առաջնահերթությունները ձերն են։