AWS Site-to-Site VPN: ytra, innra og LAN-forskeytið

Flest mistök í AWS Site-to-Site VPN eru vistfangamistök, og þau eru gerð áður en nokkur pakki hreyfist. Ytri vistföng göngunnar ná til IPsec-jafningjanna, innri vistföngin mynda beiningartengilinn á milli þeirra, og vernduðu forskeytin eru það sem tengillinn er til fyrir. Afritaðu eitt hlutverk í annað og göngin koma upp á meðan ekkert er beint. Hér er röðin lesa-athuga-stilla sem ég nota á BGP-viðskiptavinahlið, með gildin tekin úr niðurhlaðinni tækjastillingu en ekki úr minni.

Þrjú vistfangahlutverk, ein göng

Ytri vistföngin eru opinber og tilheyra IPsec-jafningjunum: eitt fyrir hverja göng á AWS-hliðinni, og aðgengileg auðkenni viðskiptavinahliðsins á þinni hlið, aðlöguð að því NAT-fyrirkomulagi sem þú hefur í raun. Innri vistföngin eru einkaaðgengileg og tilheyra rökrétta tenglinum, sem AWS skjalfestir sem /30 tekið úr 169.254.0.0/16. Vernduðu forskeytin eru VPC-, staðbundin eða gegnumferðarnet sem þú beinir og tilkynnir um þennan tengil.

Að úthluta LAN-forskeyti sem vistfangi gönguviðmótsins er klassíska útgáfan af þessari villu. Viðmótið virðist stillt, LAN-ið er ekki tilkynnt, og hin hliðin hefur enga leið að því. Göngin geta jafnvel staðist eigið innra ping á meðan hvert forritsheiti rennur út. Viðmiðun um valkosti gangna telur upp takmarkanir innra CIDR, þar á meðal vistfangasviðið sem það verður að koma úr.

Lestu gildin úr niðurhlaðinni stillingu

Hlaðaðu niður stillingunni fyrir þína tilteknu tækjamódeli úr tengingunni og meðhöndlaðu svo vistfangatöfluna sem sannleiksheimild. Stjórnborðið sýnir sömu gildi fyrir hverja göng: ytra IP, innra CIDR og vistfang BGP-jafningjans á AWS-hliðinni. Göngin tvö eru aðskildir hlutir með aðskildum ytri endapunktum og aðskildum innri /30, þótt bæði flytji sömu vernduðu netin.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Ef niðurhlaðna skráin og stjórnborðið í beinni eru ósammála er skráin úrelt. Hlaðaðu niður aftur í stað þess að breyta vistföngum í höndunum, því misræmi milli innra parsins og stilltra nágranna jafningjans er hljóðlátt BGP-bilun.

Byggðu tengilinn með rétta vistfanginu á honum

Á Linux-hliði er göngin VTI- eða XFRM-viðmót, og innra /30 fer á það viðmót. Tvö göng þýða tvö viðmót og tvo BGP-nágranna, einn fyrir hvern AWS-endapunkt. Sú venja sem AWS prentar í niðurhlaðna tækjastillingu setur sýndareinkahliðið á fyrsta vistfang hvers innra /30 og viðskiptavinahliðið þitt á það annað, svo þú tekur hærra vistfangið og jafningjar við það lægra. Ekkert hér þarf LAN-vistfang.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Ef skráin fyrir tækjamódelið þitt prentar öfugt par, notaðu tölur hennar og haltu reglunni: vistfangið á viðmótinu er þitt, vistfang jafningjans tilheyrir AWS. Að gera þetta öfugt framleiðir göng sem ná aldrei Established, því nágranninn sem þú stilltir er vistfangið sem þitt eigið viðmót hefur þegar.

Haltu merkinu og VTI-lyklinum í takt við það sem IKE-dæmoninn notar til að binda barn-SA við viðmótið, annars berst umferð á göngin án viðmóts til að lenda á. Athugaðu MTU gagnvart leiðinni og gagnvart eigin stillingum IKE-dæmonsins í stað þess að afrita tölu frá öðrum stað.

Staðfestu BGP áður en þú staðfestir leiðir

Að IPsec komi upp sannar að jafningjarnir séu sammála um öryggissamtengingu og ekkert annað. BGP-lotan er sérstök samningaviðræða yfir innri tengilinn, svo lestu stöðu nágrannans og forskeytatalningarnar og berðu þær síðan saman við það sem þú ætlaðir að tilkynna.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Staðan Established með núll mótnum forskeytum er stefnu- eða tilkynningarvandamál, ekki gönguvandamál. Endurtaktu alla athugunina á öðrum göngunum; fyrstu göngin sem virka segja þér að vistföngin séu trúverðug, ekki að önnur göngin hafi verið stillt yfirleitt.

Fylgdu beindu pakka og stöðvaðu svo

Þegar lotan flytur forskeytin, prófaðu leiðina í báðar áttir frá hliðinu: upprunavistfang, næsta stökk og öryggisstefnuna sem leyfir umferðina. BGP-lota getur verið uppi á meðan tiltekna forskeytið sem forritið þitt þarf er síað, tekið saman eða beint á rangt viðmót.

Reachability Analyzer er verkfærið á AWS-hliðinni sem tekur uppruna, áfangastað og leið og greinir frá hvaða hluti í studdri stillingu lokaði henni. Notaðu það til að prófa leiðina frá VPC að vistfangi viðskiptavinahliðsins þíns, ekki frá forritshýsi. Það greinir stillingu og sendir ekki pakka í gegnum staðbundið eldvegg, svo haltu úrskurði þess aðskildum frá eigin viðmótstalningum og pakkaskráningum.

Skráðu ytra parið, innra /30 og tilkynntu forskeytin fyrir hver göng í eina töflu. Það er taflan sem gerir næstu breytingu yfirfaranlega.