როგორ აიძულოთ AWS დაიწყოს Site-to-Site VPN გვირაბი
დაწყების მოქმედება და DPD-ის ვადის მოქმედება სხვადასხვა კითხვას პასუხობს. დააყენეთ ის, რაც AWS-ს აიძულებს დაიწყოს, შემდეგ შეამოწმეთ პარტნიორის მისამართი და აპის მარშრუტი.
ნაგულისხმევად, AWS Site-to-Site VPN ელოდება, რომ customer gateway-მა დაიწყოს მოლაპარაკება. ეს ნაგულისხმევი პარამეტრია და არა კანონი, და პარამეტრს Startup action ჰქვია. სანამ მას მიჰყვებით, გამოყავით ორი კითხვა, რომლებიც მუდმივად ერევა: ვინ აშენებს გვირაბს და აქვთ თუ არა თქვენთვის მნიშვნელოვან პაკეტებს მის გავლით მარშრუტი. მხოლოდ პირველია გვირაბის პარამეტრებში.
გამოყავით დაწყების მოქმედება DPD-ის ვადის მოქმედებისგან
ორი პარამეტრი თითო გვირაბზე ორ სხვადასხვა მოვლენას მართავს, და ერთის დაყენება მეორეზე არაფერს ამბობს.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
თუ AWS-მა უნდა ააშენოს ახალი ან შეცვლილი გვირაბი, აირჩიეთ start. თუ AWS-მა DPD-ის ვადის შემდეგ მოლაპარაკებაც უნდა განაახლოს, ცალკე დააკონფიგურირეთ restart ამ მოვლენისთვის. არც ერთი პარამეტრი არ არის აპის ხელახალი ცდის პოლიტიკა და არც ერთი არ არის გასაღების გამოცვლის ინტერვალი: DPD ამოწმებს, ცოცხალია თუ არა პარტნიორი, ხოლო გასაღების გამოცვლა ცვლის security associations-ს მოქმედ გვირაბზე.
აპი, რომელსაც ვადა ეწურება მაშინ, როცა გვირაბი ჯერ კიდევ up-ს აჩვენებს, მონაცემთა ბილიკის პრობლემა აქვს. DPD-ის ტაიმერის შემოკლება ამას არ გამოასწორებს და შეიძლება დაამატოს აურზაური, რომლის ახსნაც მოგვიანებით მოგიწევთ.
შეამოწმეთ, რომ AWS-ს აქვს სად გაუშვას მოლაპარაკება
AWS-ის მხრიდან დაწყება მხოლოდ IKEv2-ით შესაძლებელია, და AWS-ს სჭირდება customer gateway-ის საჯარო მისამართი, რომ იცოდეს სად გაუშვას წინადადება. ყველაზე მტკივნეული შემთხვევაა მისამართის გარეშე შექმნილი სერტიფიკატით ავთენტიფიცირებული customer gateway რესურსი: AWS-ის დოკუმენტაცია აღწერს მისამართიანი ახალი customer gateway რესურსის შექმნას და შემდეგ VPN კავშირის მასზე მიმართვას.
სერტიფიკატი ამტკიცებს, ვინ არის პარტნიორი. ის AWS-ს არ ეუბნება, სად არის პარტნიორი, და ეს ორი სხვადასხვა მოთხოვნაა. ამიტომ გადაწყვეტა ახალი customer gateway რესურსია და არა ახალი სერტიფიკატი. სერტიფიკატის შეცვლა AWS-ს იმავე დაკარგული დანიშნულებით ტოვებს.
თუ customer gateway NAT-ის უკანაა, AWS-ს ასევე სჭირდება კონფიგურირებული responder identity, IDr, რომ პარტნიორის იდენტობა შეესაბამებოდეს იმას, რასაც მოწყობილობა ელოდება. დაადასტურეთ ეს მნიშვნელობა და firewall-ის ბილიკი, რომელიც IKE ტრაფიკს უშვებს, სანამ ახლახან შეცვლილ პარამეტრს დაადანაშაულებთ. start არჩევა ვერ აიძულებს მიუწვდომელ ან არასწორად იდენტიფიცირებულ პარტნიორს მიიღოს წინადადება.
გამოიყენეთ ცვლილება ერთ გვირაბზე და მოელოდეთ შეფერხებას
VPN კავშირს ორი დამოუკიდებელი პარამეტრების მქონე გვირაბი აქვს, ამიტომ გარე მისამართით დაადასტურეთ, რომელს არედაქტირებთ. AWS ერთდროულად მხოლოდ ერთი გვირაბის შეცვლას უშვებს, და არჩეულ გვირაბზე კავშირი შეიძლება რამდენიმე წუთით შეწყდეს.
- აირჩიეთ Site-to-Site VPN კავშირი და გახსენით Modify VPN tunnel options.
- აირჩიეთ გვირაბი გარე IP მისამართით და დაადასტურეთ მისი IKE ვერსია და customer gateway რესურსი.
- დააყენეთ ის დაწყებისა და DPD მოქმედებები, რომლებიც ნამდვილად გსურთ, შემდეგ შეინახეთ თქვენს მიერ კონტროლირებულ ფანჯარაში.
- დაადასტურეთ, რომ შეცვლილი გვირაბი დგება, და შემდეგ ცვლილებამდე შეამოწმეთ მეორე გვირაბი და მარშრუტიზაცია.
ერთი ქცევა ყურადღებას იმსახურებს ტექნიკურ მომსახურებამდე. AWS-ის დაწყების ჩართვისას ვადა არ არსებობს: AWS აგრძელებს ცდას, სანამ გვირაბი არ ადგება, და ხელახლა იწყებს, როცა customer gateway delete-SA შეტყობინებას აგზავნის. თუ პარტნიორს განზრახ გამორთავთ, AWS გააგრძელებს კაკუნს, და პარტნიორის ჟურნალები ამას აჩვენებს.
შეამოწმეთ აპის ბილიკი და არა მხოლოდ გვირაბის მდგომარეობა
up-ის მაჩვენებელი გვირაბი არ არის იგივე, რაც მომუშავე მოთხოვნა. VPC-ზე მიბმულ Lambda ფუნქციას მაინც სჭირდება subnet მარშრუტი დამკვეთის პრეფიქსამდე, ტრაფიკის დაშვების security group და network ACL წესები, სწორი მისამართის დაბრუნების სახელების გარჩევა და დაბრუნების ბილიკი დამკვეთის მხარეს.
ერთხელ გამოსცადეთ რეალური მოთხოვნით აპის კონტექსტიდან, ხოლო თუ ვერ შედგა, წაიკითხეთ flow logs. Keepalive ტრაფიკი ლეგიტიმური ვარიანტია, როცა AWS-ის დაწყება გამორთულია და უსაქმურ გვირაბს პაკეტები სჭირდება დგომისთვის, მაგრამ ეს უნდა იყოს დასახელებადი მონიტორინგის გადაწყვეტილება და არა ფუნქციაზე მიჭერილი აუხსნელი ping ციკლი.
ჯერ აირჩიეთ, ვინ აშენებს გვირაბს, შემდეგ დანარჩენ ხარვეზს მისივე დონეზე ჩაუტარეთ დიაგნოსტიკა. AWS-ის დოკუმენტაცია დაწყების შესახებ უფრო დეტალურად მოიცავს მისამართის, იდენტობისა და ხელახალი ცდის მოთხოვნებს, ვიდრე კონსოლის მინიშნებები.