AWS VPN-ის PSK-ის როტაცია: რომელი გვირაბი ვარდება და როდის

გვირაბი იმ წამს ვარდება, როცა ორი ბოლო წინასწარ გაზიარებულ გასაღებზე არ თანხმდება, და ქვემოთ რჩება, სანამ ორივე მხარე ახალ მნიშვნელობას არ ატარებს. ეს ნაწილი მოსალოდნელია: AWS ცვლილებას არჩეული გვირაბის შეწყვეტად განიხილავს, და პარტნიორი IKE-ს არ დაასრულებს, სანამ გასაღებები განსხვავდება. რაც ხალხს აკვირვებს, მეორე ნახევარია. მეორე გვირაბი ტრაფიკს თავისით არ იღებს, თუ არ შეამოწმეთ, რომ მისი ტარება შეუძლია. ამ თანმიმდევრობით მოატრიალეთ და შეწყვეტა ერთი გვირაბის შიგნით დარჩება.

რა ხდება სინამდვილეში, როცა გასაღები იცვლება

ModifyVpnTunnelOptions ერთი გვირაბის პარამეტრებს გადაწერს, რომელიც გარე IP მისამართით იდენტიფიცირდება. გვირაბი იშლება და ხელახლა შენდება, ამიტომ IKE და IPsec ახალი გასაღებით ნულიდან მოლაპარაკებენ. AWS აცხადებს, რომ შეწყვეტა რამდენიმე წუთს გასტანს, რაც საკმარისად გრძელია, რომ მარშრუტიზაციის პროტოკოლმა შეამჩნიოს. იმავე კავშირის მეორე გვირაბს ეს გამოძახება არ ეხება.

არსებობს მეორე ეფექტი, რომლის ცოდნაც ღირს რაიმეს გაგზავნამდე. ცვლილების ოპერაცია გვირაბის პარამეტრების სრულ კრებულს იღებს, ამიტომ გამოტოვებული ველი თავისი ნაგულისხმევი მნიშვნელობით უკან იწერება. თუ 1-ლი ან 2-ე ფაზის სიცოცხლის ხანგრძლივობა ან მკვდარი პარტნიორის ამოცნობის პარამეტრები დაგირეგულირებიათ, მიმდინარე მნიშვნელობები იმავე მოთხოვნაში გადასცეთ ან შემდეგ მათი აღდგენა დაგეგმეთ.

ჯერ მიმდინარე მნიშვნელობები წაიკითხეთ, შემდეგ ერთი ველი შეცვალეთ. ეს თანმიმდევრობა ამ ამოცანის მთელი დისციპლინაა.

ჯერ AWS-ის გვირაბი სწორ პარტნიორს შეუსაბამეთ

კონსოლი გვირაბებს რიგის მიხედვით ასახელებს და თქვენი მოწყობილობა ამ იარლიყს არ იყენებს. გვირაბი გარე IP მისამართით განსაზღვრეთ და კლიენტის კარიბჭეზე პარტნიორის განყოფილებას შეუსაბამეთ. ლოკალურ კონფიგურაციაში გვირაბი 1 იმის მტკიცებულება არ არის, რომ იმ გვირაბს არედაქტირებთ, რომელსაც AWS გვირაბ 1-ს უწოდებს.

თავად კავშირიდან დაიწყეთ, რომელიც ორივე გვირაბს და თითოეულის მიერ ახლა ნაჭერ გასაღებს ჩამოთვლის:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

დაბრუნებული გასაღები ახლა გამოყენებული გასაღებია. შეცვლამდე შეადარეთ იგი პარტნიორის კონფიგურაციას, რადგან უკვე არსებული შეუსაბამობა ხსნის გვირაბს, რომელიც არასოდეს ყოფილა სტაბილური.

ჯერ მეორე გვირაბს ატარებინეთ ტრაფიკი

ერთ კავშირში ორი გვირაბი არ ამტკიცებს, რომ თქვენმა მოწყობილობამ ორივე დააკონფიგურირა, რომ ორივე თქვენთვის საჭირო პრეფიქსებს აცხადებს ან რომ ტრაფიკი მათ შორის მოძრაობს. შეამოწმეთ ალტერნატიული გვირაბის მოლაპარაკება, მისი მარშრუტები და რეალური აპლიკაციის ნაკადი ორივე მიმართულებით. BGP-ის შემთხვევაში ცოცხალი მეზობლობა სასარგებლო მტკიცებულებაა, მაგრამ არ არის იგივე, რაც პრეფიქსების დადასტურება. სტატიკური მარშრუტიზაციისას დაადასტურეთ, როგორ ირჩევს კარიბჭე გზას და რას აკეთებს, როცა სასურველი ქრება.

თუ ალტერნატივა დატვირთვას ვერ იტანს, დაგეგმეთ შეწყვეტა ან შეაკეთეთ ალტერნატიული გვირაბი გასაღების შეხებამდე. კონსოლის გვერდზე მყოფი სტატუსის შუქი უწყვეტი სერვისის დაპირება არ არის.

მოატრიალეთ ერთი გვირაბი, შემდეგ რეალური ტრაფიკით გადაამოწმეთ

როცა ალტერნატიული გზა დამტკიცებულია, თანმიმდევრობა მოკლეა. ჩაიწერეთ გვირაბის მისამართი, მისი პარტნიორი და არასაიდუმლო პარამეტრები, და კარიბჭისკენ შეინარჩუნეთ მართვის გზა, რომელიც არ არის დამოკიდებული იმ გვირაბზე, რომლის გაწყვეტასაც აპირებთ.

1. განაახლეთ კლიენტის კარიბჭის პარტნიორი არჩეული გარე მისამართისთვის, ან მოამზადეთ ცვლილება ისე, რომ API გამოძახებიდან წამებში ამოქმედდეს.
2. გაგზავნეთ ცვლილების გამოძახება ახალი გასაღებით, მიმდინარე სიცოცხლის ხანგრძლივობებთან და DPD მნიშვნელობებთან ერთად.
3. დაელოდეთ IKE-ისა და IPsec-ის დაბრუნებას, შემდეგ დაადასტურეთ მარშრუტები და საჭირო პრეფიქსები.
4. გაატარეთ წარმომადგენლობითი აპლიკაციის ნაკადი ამ გვირაბში და დააკვირდით ორივე მიმართულებას.

გვირაბი გამოუსადეგარია, სანამ ბოლოები არ თანხმდებიან და სანამ AWS ცვლილებას იყენებს, ამიტომ პარტნიორის განახლება დაუყოვნებლივ უნდა მოჰყვეს და არა სადილის შემდეგ. მხოლოდ მაშინ, როცა შეცვლილი გვირაბი რეალურ ტრაფიკს ატარებს, გაიმეორეთ პროცედურა მეორეზე.

შეჩერდით, თუ პირველი გვირაბის შემდეგ აღდგენა ან მარშრუტიზაცია ჯერ კიდევ გაურკვეველია. ორი ნახევრად მომუშავე გვირაბი უარესია, ვიდრე ერთი, რომლის მუშაობაც იცით.

როცა აღდგენა ჭედავს, წაიკითხეთ IKE მხარე

გვირაბი, რომელიც ქვემოთ რჩება მას შემდეგ, რაც ორივე ბოლო ახალ გასაღებს ფლობს, ჩვეულებრივ პოლიტიკის შეუსაბამობაა, რომელიც როტაციამ გამოავლინა და არ შექმნა. წინადადებები, პარტნიორის მიერ გაგზავნილი იდენტობა და ტრაფიკის სელექტორები ყველა უნდა შეესაბამებოდეს AWS-ის მხარეს, და დამკვიდრებულ გვირაბში გადარჩენილი მნიშვნელობა მაინც შეიძლება უარყოფილ იქნას ახალი მოლაპარაკების დროს. წაიკითხეთ მოლაპარაკების სტატუსი და მასზე მიმაგრებული შეტყობინება, სანამ გასაღებს მეორედ შეცვლით.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

თუ ცვლილება უნდა გაუქმდეს, ნუ აღადგენთ ძველ გასაღებს მხოლოდ იმიტომ, რომ ადრე მუშაობდა. კომპრომეტირებულ გასაღებს კომპრომეტირებულად მოექეცით და სამაგიეროდ მოლაპარაკება გაასწორეთ. დაასრულეთ ორივე გვირაბის დადასტურებით და საიდუმლოებების ინვენტარის განახლებით, რათა თითოეულმა პარტნიორმა ჩაიწეროს, რომელი მნიშვნელობა აქვს, და AWS-ის გვირაბის პარამეტრების დოკუმენტაცია runbook-ის გვერდით შეინახეთ.