Cara membuat AWS memulai tunnel Site-to-Site VPN
Aksi startup dan aksi timeout DPD menjawab pertanyaan yang berbeda. Setel yang membuat AWS memulai, lalu periksa alamat peer dan rute aplikasi.
Secara default, AWS Site-to-Site VPN menunggu customer gateway memulai negosiasi. Default itu adalah pengaturan, bukan hukum, dan pengaturannya bernama Startup action. Sebelum Anda menyentuhnya, pisahkan dua pertanyaan yang terus tercampur: siapa yang membangun tunnel, dan apakah paket yang Anda pedulikan punya rute melewatinya. Hanya yang pertama berada di opsi tunnel.
Pisahkan aksi startup dari aksi timeout DPD
Dua opsi per tunnel mengatur dua peristiwa berbeda, dan menyetel satu tidak mengatakan apa pun tentang yang lain.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Jika AWS harus membangun tunnel baru atau yang diubah, pilih start. Jika AWS juga harus memulai ulang negosiasi setelah timeout DPD, konfigurasikan restart untuk peristiwa itu secara terpisah. Tidak ada dari kedua opsi itu yang merupakan kebijakan percobaan ulang aplikasi, dan tidak ada yang merupakan interval penggantian kunci: DPD memeriksa apakah peer masih hidup, sedangkan penggantian kunci mengganti security associations pada tunnel yang aktif.
Aplikasi yang timeout saat tunnel masih melaporkan up mengalami masalah jalur data. Memperpendek timer DPD tidak akan memperbaikinya dan dapat menambah gejolak yang harus Anda jelaskan nanti.
Periksa bahwa AWS punya tempat untuk mengirim negosiasi
Inisiasi dari sisi AWS hanya berjalan dengan IKEv2, dan AWS memerlukan alamat publik customer gateway untuk tahu ke mana proposal dikirim. Kasus yang paling menyakitkan adalah resource customer gateway yang diautentikasi sertifikat dan dibuat tanpa alamat: dokumentasi AWS menjelaskan pembuatan resource customer gateway baru dengan alamat tersebut lalu pengubahan koneksi VPN agar menunjuk ke sana.
Sertifikat membuktikan siapa peer-nya. Sertifikat tidak memberi tahu AWS di mana peer berada, dan itu dua persyaratan berbeda. Karena itu solusinya adalah resource customer gateway baru, bukan sertifikat baru. Mengganti sertifikat meninggalkan AWS dengan tujuan yang sama-sama hilang.
Jika customer gateway berada di belakang NAT, AWS juga memerlukan responder identity yang dikonfigurasi, IDr, agar identitas peer cocok dengan yang diharapkan perangkat. Konfirmasikan nilai itu dan jalur firewall yang mengizinkan lalu lintas IKE sebelum menyalahkan opsi yang baru Anda ubah. Memilih start tidak dapat membuat peer yang tak terjangkau atau salah diidentifikasi menerima proposal.
Terapkan perubahan pada satu tunnel dan perkirakan gangguan
Satu koneksi VPN memiliki dua tunnel dengan opsi yang independen, jadi pastikan mana yang Anda edit lewat alamat luarnya. AWS mengizinkan perubahan satu tunnel dalam satu waktu, dan konektivitas lewat tunnel yang dipilih dapat terputus selama beberapa menit.
- Pilih koneksi Site-to-Site VPN dan buka Modify VPN tunnel options.
- Pilih tunnel berdasarkan alamat IP luar dan konfirmasikan versi IKE serta resource customer gateway-nya.
- Setel aksi startup dan DPD yang benar-benar Anda inginkan, lalu simpan pada jendela waktu yang Anda kendalikan.
- Konfirmasikan bahwa tunnel yang diubah terbentuk, dan periksa tunnel lainnya serta perutean sebelum perubahan berikutnya.
Satu perilaku layak diperhatikan sebelum pemeliharaan. Dengan inisiasi AWS aktif tidak ada timeout: AWS terus mencoba sampai tunnel naik, dan memulai ulang saat customer gateway mengirim pesan delete-SA. Jika Anda mematikan peer dengan sengaja, AWS akan terus mengetuk, dan log peer akan menunjukkannya.
Verifikasi jalur aplikasi, bukan hanya status tunnel
Tunnel yang melaporkan up tidak sama dengan permintaan yang berhasil. Fungsi Lambda yang terpasang pada VPC masih memerlukan rute subnet ke prefiks pelanggan, aturan security group dan network ACL yang mengizinkan lalu lintas, resolusi nama yang mengembalikan alamat yang benar, dan jalur balik di sisi pelanggan.
Uji sekali dengan permintaan nyata dari konteks aplikasi, lalu baca flow logs jika gagal. Lalu lintas keepalive adalah opsi yang sah ketika inisiasi AWS mati dan tunnel yang menganggur memerlukan paket agar tetap hidup, tetapi itu harus menjadi keputusan pemantauan yang bisa Anda sebutkan, bukan loop ping tak dijelaskan yang dipasang pada sebuah fungsi.
Pilih dulu siapa yang membangun tunnel, lalu diagnosis sisa kegagalan pada lapisannya sendiri. Dokumentasi AWS tentang inisiasi membahas persyaratan alamat, identitas, dan percobaan ulang lebih rinci daripada petunjuk di konsol.