Cloud VPN-mörk sem þú getur ekki stillt: IKE-líftími og NAT jafningjans

Gefðu fjartækinu 24 klukkustunda líftíma fasa 1 og Cloud VPN-göngin verða áfram niðri, jafnvel þótt allt á hlið Google sé rétt stillt. Jafninginn leggur til gildi sem svarandinn mun ekki samþykkja, svo samningaviðræðurnar annaðhvort mistakast algjörlega eða endurræsast endalaust. Cloud VPN takmarkar fasa 1 við 36,000 sekúndur, það er tíu klukkustundir, og þetta þak er ekki stilling sem þú getur hækkað. Breytingin tilheyrir fjartækinu.

Jafninginn spyr, svarandinn ræður

IKE er samstillingaræfing milli tveggja tillagnasetta. Göngin myndast aðeins þar sem settin skarast innan þeirra marka sem svarandinn samþykkir, og þess vegna framleiðir líftími utan sviðs alls engin hluta-göng. Venjulega mistökin eru að meðhöndla stillingar jafningsins sem óskalista frekar en tillögu. Tómt snið heldur göngunum niðri, hversu rétt sem leiðsögnin og valarnir eru.

Lestu eigið ástand ganganna áður en þú opnar mál, því ítarlegt ástand nefnir venjulega þann áfanga sem mistókst:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Berðu það sem kemur til baka saman við studda settið fyrir gáttargerð þína og IKE-útgáfu, og skráðu báða umferðarvalana meðan þú ert þar. Ósamræmi í vali gefur sömu einkenni niðri ganga og ósamræmi í reikniriti, og ólíkt reikniritinu er þetta þitt að laga.

36,000 sekúndur er þakið

Fasi 1 stöðvast við 36,000 sekúndur. Tæki sem er stillt á 86,400 biður um eitthvað sem svarandinn samþykkir aldrei, og endurtekin tilraun breytir ekki skoðun hans. Snúðu fjartillögunni aftur inn í sviðið og sama stillingin myndast; ósamhverfan er allur lærdómurinn, því þú getur lækkað þitt eigið gildi og getur ekki hækkað gildi Google.

Skrifaðu valið gildi í hönnunarnóturnar. Annars endurtekur næsti verkfræðingur 24 klukkustunda tilraunina og rekst á sama vegg.

Studda settið er birt fyrir hverja gáttargerð og IKE-útgáfu í yfirliti Cloud VPN, svo lestu hlutann fyrir þína netuppbyggingu frekar en almenna IKE-leiðarvísi.

Göng sem falla samkvæmt áætlun

Fasi 2 hagar sér öðruvísi: þegar endarnir tveir eru ósammála fylgir endurnýjun lykla styttra bilinu. Jafningi sem lítur á ósamræmið sem banvænt sleppir göngunum í staðinn, svo eitt ósamræmi getur litið út eins og tveir ótengdir gallar. Fylgstu með takti endurnýjunar lykla, ekki bara fyrstu tengingu. Göng sem koma upp og falla svo í reglulegum takti eru oftar líftímamismunur en leiðsagnargalli.

Tengdu þessi falltímastimpla við eigin annála jafningsins áður en þú breytir nokkru, því vala- eða leiðabreyting getur líkt eftir sama takti. Ef takturinn passar við tímastillinn fyrir fasa 2 er orsökin fundin án þess að snerta tillögu.

Settin koma frá gáttargerðinni

Dulritunar- og heilleikasett eru ekki prófíll fyrir hver göng sem þú breytir eins og strongSwan leyfir. Þú velur þau eftir gáttargerð og IKE-útgáfu, og að elta prófíl sem er ekki til eyðir síðdegi.

Eldra tæki sem býður ekkert innan studda settsins skilur eftir tvo heiðarlega vegu: skiptu um tæki, eða endaðu á hugbúnaðargátt sem þú stjórnar og leiðbeindu þaðan inn í VPC. Allt annað er hjáleið sem fellur á næstu endurskoðun.

Eitt ytra vistfang á hvert tæki

Ytra vistfang jafningsins verður að varpast einn-í-einn á innra vistfang hans. Ofhlaðið PAT-safn getur ekki unnið, því nokkrir hýslar á bak við eitt opinbert vistfang gefa svarandanum enga leið til að greina þau. Þar sem nokkrir hýslar verða að deila vistfangi verða göngin að enda staðar sem getur greint þau.

Haltu þessu ytra vistfangi líka stöðugu. Færðu tækið á bak við annað NAT og tengslin rofna þótt hver tillaga passi enn. Það er þess virði að skrifa niður hvaða gildi eru Google og hver eru þín: líftímar, sett og einn-í-einn NAT eru föst á þeirra hlið, en tillögur, valar, leiðsögn og BGP-forgangur eru þín.