Hvernig láta má AWS hefja Site-to-Site VPN göng

Sjálfgefið bíður AWS Site-to-Site VPN eftir því að customer gateway hefji samningaviðræðurnar. Það sjálfgefið er stilling, ekki lög, og stillingin heitir Startup action. Áður en þú grípur til hennar skaltu aðskilja tvær spurningar sem blandast stöðugt: hver reisir göngin og hvort pakkarnir sem þér eru mikilvægir hafi leið í gegnum þau. Aðeins sú fyrri er í valkostum ganganna.

Aðskildu ræsingaraðgerðina frá DPD-tímamarksaðgerðinni

Tveir valkostir fyrir hver göng stjórna tveimur mismunandi atburðum, og að stilla annan segir ekkert um hinn.

Ef AWS á að reisa ný eða breytt göng skaltu velja start. Ef AWS á einnig að hefja samningaviðræðurnar að nýju eftir DPD-tímamark skal stilla restart fyrir þann atburð sérstaklega. Hvorugur valkosturinn er endurtekningastefna forritsins og hvorugur er millibil lyklaskipta: DPD athugar hvort jafninginn er á lífi, en lyklaskipti skipta út security associations á virkum göngum.

Forrit sem fær tímamark á meðan göngin tilkynna enn up er með vandamál á gagnaleiðinni. Að stytta DPD-tímarann lagar það ekki og getur bætt við óróa sem þú þarft að útskýra síðar.

Athugaðu að AWS hafi eitthvert að senda samningaviðræðurnar

Frumkvæði frá AWS virkar aðeins með IKEv2, og AWS þarf opinbert vistfang customer gateway til að vita hvert tillagan á að fara. Tilfellið sem særir er customer gateway auðlind með skírteinisauðkenningu sem var búin til án vistfangs: skjöl AWS lýsa því að búa til nýja customer gateway auðlind með vistfanginu og breyta síðan VPN-tengingunni svo hún vísi á hana.

Skírteini sannar hver jafninginn er. Það segir AWS ekki hvar jafninginn er, og það eru tvær mismunandi kröfur. Þess vegna er lausnin ný customer gateway auðlind en ekki nýtt skírteini. Að skipta um skírteini skilur AWS eftir með sama glataða áfangastaðinn.

Ef customer gateway er bakvið NAT, þarf AWS einnig stillta responder identity, IDr, svo auðkenni jafningsins passi við það sem tækið býst við. Staðfestu það gildi og eldveggsleiðina sem hleypir IKE-umferð í gegn áður en þú kennir valkostinum sem þú breyttir rétt í þessu um sökina. Að velja start getur ekki látið óaðgengilegan eða rangt auðkenndan jafning samþykkja tillögu.

Beittu breytingunni á eitt göng og búðu þig við truflun

VPN-tenging hefur tvö göng með óháðum valkostum, svo staðfestu hvaða göng þú ert að breyta út frá ytra vistfangi þeirra. AWS leyfir að breyta einum göngum í einu, og tengingin um valin göng getur rofnað í nokkrar mínútur.

1. Veldu Site-to-Site VPN tenginguna og opnaðu Modify VPN tunnel options.
2. Veldu göngin út frá ytra IP-vistfangi og staðfestu IKE-útgáfuna og customer gateway auðlindina.
3. Stilltu ræsingar- og DPD-aðgerðirnar sem þú vilt í raun, og vistaðu síðan á tímabili sem þú stjórnar.
4. Staðfestu að breyttu göngin rísi, og athugaðu hin göngin og leiðarstillinguna fyrir næstu breytingu.

Ein hegðun á skilið athygli fyrir viðhald. Með AWS-frumkvæði virkt er ekkert tímamark: AWS heldur áfram að reyna þar til göngin rísa, og hefur frumkvæði aftur þegar customer gateway sendir delete-SA skilaboð. Ef þú tekur jafningann niður viljandi mun AWS halda áfram að banka, og skrár jafningsins munu sýna það.

Sannprófaðu leið forritsins, ekki bara stöðu ganganna

Göng sem tilkynna up eru ekki það sama og beiðni sem virkar. Lambda-fall sem tengt er VPC þarf enn subnet-leið að forskeyti viðskiptavinarins, reglur security group og network ACL sem leyfa umferðina, nafnupplausn sem skilar réttu vistfangi, og endurleið á viðskiptavinahliðinni.

Prófaðu einu sinni með raunverulegri beiðni úr samhengi forritsins, og lestu síðan flow logs ef það mistekst. Keepalive-umferð er lögmætur valkostur þegar AWS-frumkvæði er slökkt og aðgerðalaus göng þurfa pakka til að halda sér uppi, en það ætti að vera vöktunarákvörðun sem þú getur nefnt, ekki óútskýrð ping-lykkja boltuð á fall.

Veldu fyrst hver reisir göngin, greindu síðan það sem eftir er af biluninni á eigin lagi. Skjöl AWS um frumkvæði fara ítarlegar í kröfurnar um vistfang, auðkenni og endurtekningar en vísbendingarnar í stjórnborðinu.