Snúningur á PSK í AWS VPN: hvaða göng falla, og hvenær

Göngin falla á þeirri stundu sem endarnir tveir eru ósammála um fordeilda lykilinn, og þau vera niðri þar til báðir aðilar bera nýja gildið. Sá hluti er væntanlegur: AWS lítur á breytinguna sem truflun á völdu göngunum, og jafninginn mun ekki klára IKE á meðan lyklarnir eru ólíkir. Það sem kemur fólki á óvart er seinni helmingurinn. Hin göngin taka ekki umferðina að sér sjálf nema þú hafir staðfest að þau geti borið hana. Snúðu í þessari röð og truflunin helst inni í einum göngum.

Hvað gerist í raun þegar lykillinn breytist

ModifyVpnTunnelOptions skrifar valkostina fyrir ein göng aftur, auðkennd af ytra IP-tölu þeirra. Göngunum er rifið og þau endurbyggð, svo IKE og IPsec semja frá grunni með nýja lyklinum. AWS segir að truflunin geti staðið í nokkrar mínútur, sem er nógu langt fyrir leiðarvaldsbókun til að taka eftir henni. Hinum göngunum í sömu tengingu er óhreyft af kallinu.

Það er önnur áhrif sem vert er að þekkja áður en þú sendir eitthvað. Breytingaraðgerðin tekur allt mengi gangavalkosta, svo reitur sem þú sleppir er skrifaður aftur með sjálfgefnu gildi sínu. Ef þú hefur stillt líftíma fasa 1 eða fasa 2, eða stillingar fyrir skynjun dauðs jafningja, skilaðu núverandi gildum í sömu beiðni eða skipuleggðu að endurheimta þau eftir á.

Lestu núverandi gildi fyrst og breyttu síðan einum reit. Sú röð er öll agi þessa verks.

Paraðu AWS-göngin fyrst við rétta jafningjann

Stjórnborðið merkir göng eftir röð, og tækið þitt notar ekki það merki. Auðkenndu göngin af ytri IP-tölu þeirra og paraðu þau við jafningjahlutann á viðskiptavinahliðinu. Göng 1 í staðbundinni uppsetningu er ekki sönnun þess að þú sért að breyta þeim göngum sem AWS kallar göng 1.

Byrjaðu á tengingunni sjálfri, sem telur upp bæði göngin og lykilinn sem hvort um sig heldur núna:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Lykillinn sem kemur til baka er sá sem er í notkun núna. Berðu hann saman við uppsetningu jafningsins áður en þú breytir nokkru, því misræmi sem þegar er til skýrir göng sem voru aldrei stöðug.

Leyfðu hinum göngunum að bera umferðina fyrst

Tvö göng í einni tengingu sanna ekki að tækið þitt hafi stillt bæði, að bæði tilkynni forskeytin sem þú þarft, eða að umferð fari milli þeirra. Athugaðu samningaviðræður varaganganna, leiðir þeirra og raunverulegt flæði forrits í báðar áttir. Með BGP er lifandi nágrannasamband gagnleg sönnun en ekki það sama og að staðfesta forskeytin. Með kyrrstæðri leiðarstýringu skaltu staðfesta hvernig hliðið velur leiðina og hvað það gerir þegar sú sem er í forgangi hverfur.

Ef varaleiðin getur ekki borið vinnuálagið skaltu tímasetja truflunina eða laga varagöngin áður en þú snertir lykilinn. Stöðuljós á stjórnborðssíðu er ekki loforð um óslitna þjónustu.

Snúðu einum göngum og staðfestu síðan með raunverulegri umferð

Þegar varaleiðin er sönnuð er röðin stutt. Skráðu tölu ganganna, jafningja þeirra og stillingar sem ekki eru leyndar, og hafðu stjórnleið að hliðinu sem er ekki háð göngunum sem þú ert að fara að rjúfa.

1. Uppfærðu jafningja viðskiptavinahliðsins fyrir valda ytri tölu, eða undirbúðu breytinguna svo hún taki gildi sekúndum eftir API-kallið.
2. Sendu breytingarkallið með nýja lyklinum ásamt núverandi líftímum og DPD-gildum.
3. Bíddu eftir að IKE og IPsec komi til baka og staðfestu síðan leiðirnar og nauðsynlegu forskeytin.
4. Ýttu dæmigerðu forritaflæði í gegnum þau göng og fylgstu með báðum áttum.

Göngin eru ónothæf á meðan endarnir eru ósammála og á meðan AWS beitir breytingunni, svo uppfærsla jafningsins verður að fylgja strax en ekki eftir hádegi. Aðeins þegar breyttu göngin bera raunverulega umferð ættir þú að endurtaka ferlið á hinum.

Stoppaðu ef endurheimt eða leiðarstýring er enn óviss eftir fyrstu göngin. Tvö hálfvirk göng eru verri en eitt sem þú veist að virkar.

Þegar endurheimt stöðvast skaltu lesa IKE-hliðina

Göng sem verða niðri eftir að báðir endar halda nýja lyklinum eru venjulega stefnumisræmi sem snúningurinn leiddi í ljós en bjó ekki til. Tillögurnar, auðkennið sem jafninginn sendir og umferðarvalarnir verða öll að passa við AWS-hliðina, og gildi sem stóðst uppsett göng getur samt verið hafnað í nýrri samningaviðræðu. Lestu stöðu samningaviðræðnanna og skeytið sem fylgir þeim áður en þú breytir lyklinum í annað sinn.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Ef afturkalla þarf breytinguna skaltu ekki endurheimta gamla lykilinn bara af því að hann virkaði áður. Meðhöndlaðu íslitinn lykil sem íslitinn og lagaðu samningaviðræðurnar í staðinn. Ljúktu með báðum göngunum staðfestum og leyndarmálaskránni uppfærðri svo hver jafningi skrái hvaða gildi hann heldur, og hafðu AWS-skjöl um gangavalkosti við hlið runbook-sins.