AWS-ті Site-to-Site VPN туннелін бастауға қалай мәжбүрлеу керек
Іске қосу әрекеті мен DPD тайм-аут әрекеті әртүрлі сұрақтарға жауап береді. AWS-ті бастауға мәжбүрлейтін әрекетті орнатыңыз, содан кейін өндестің мекенжайын және қолданбаның маршрутын тексеріңіз.
Әдепкіде AWS Site-to-Site VPN customer gateway-дің келіссөзді бастауын күтеді. Бұл әдепкі — заң емес, параметр, және параметрдің атауы Startup action. Оған жүгірмес бұрын, үнемі шатастырылатын екі сұрақты бөліңіз: туннельді кім орнатады және сізді қызықтыратын пакеттердің ол арқылы маршруты бар ма. Тек біріншісі туннель параметрлерінде.
Іске қосу әрекетін DPD тайм-аут әрекетінен бөліңіз
Әр туннель үшін екі параметр екі түрлі оқиғаны басқарады, және біреуін орнату екіншісі туралы ештеңе айтпайды.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS жаңа немесе өзгертілген туннельді көтеруі керек болса, таңдаңыз start. AWS DPD тайм-аутынан кейін келіссөзді де қайта бастауы керек болса, сол оқиға үшін бөлек restart конфигурациялаңыз. Екі параметрдің ешқайсысы қолданбаның қайта әрекет ету саясаты емес, және ешқайсысы кілтті ауыстыру аралығы емес: DPD өндестің тірі екенін тексереді, ал кілтті ауыстыру жұмыс істеп тұрған туннельдегі security associations-ды алмастырады.
Туннель әлі up деп хабарлап тұрғанда тайм-аутқа ұшырайтын қолданба деректер жолының мәселесін бастан кешіреді. DPD таймерін қысқарту оны түзетпейді және кейін түсіндіруге тура келетін аласапыран қосуы мүмкін.
AWS-тің келіссөзді жіберетін жері бар-жоғын тексеріңіз
AWS жағынан бастау тек IKEv2 арқылы мүмкін, және AWS ұсынысты қайда жіберуді білу үшін customer gateway-дің жария мекенжайын қажет етеді. Ең ауыр жағдай — мекенжайсыз жасалған, сертификатпен аутентификацияланған customer gateway ресурсы: AWS құжаттамасы мекенжайы бар жаңа customer gateway ресурсын жасап, содан кейін VPN қосылымын соған бағыттауды сипаттайды.
Сертификат өндестің кім екенін дәлелдейді. Ол AWS-ке өндестің қайда екенін айтпайды, ал бұлар екі түрлі талап. Сондықтан шешім — жаңа сертификат емес, жаңа customer gateway ресурсы. Сертификатты ауыстыру AWS-ті сол жетіспейтін межелі жермен қалдырады.
Егер customer gateway NAT-тың артында болса, AWS-ке конфигурацияланған responder identity де қажет, IDr, өндестің идентификациясы құрылғы күткенге сәйкес келуі үшін. Жаңа ғана өзгерткен параметрді кінәламас бұрын сол мәнді және IKE трафигін өткізетін брандмауэр жолын растаңыз. start таңдау қолжетімсіз немесе қате сәйкестендірілген өндесті ұсынысты қабылдауға мәжбүрлей алмайды.
Өзгерісті бір туннельге қолданыңыз және үзіліс күтіңіз
VPN қосылымында тәуелсіз параметрлері бар екі туннель бар, сондықтан сыртқы мекенжайы бойынша қайсысын өңдеп жатқаныңызды растаңыз. AWS бір уақытта бір ғана туннельді өзгертуге рұқсат етеді, ал таңдалған туннель арқылы байланыс бірнеше минутқа үзілуі мүмкін.
- Site-to-Site VPN қосылымын таңдап, Modify VPN tunnel options-ті ашыңыз.
- Туннельді сыртқы IP мекенжайы бойынша таңдап, оның IKE нұсқасын және customer gateway ресурсын растаңыз.
- Шынымен қалаған іске қосу және DPD әрекеттерін орнатып, содан кейін өзіңіз бақылайтын терезеде сақтаңыз.
- Өзгертілген туннельдің орнатылатынын растап, келесі өзгеріске дейін екінші туннель мен маршруттауды тексеріңіз.
Техникалық қызмет көрсетуден бұрын бір мінез-құлық назар аударуға тұрарлық. AWS бастауы қосулы кезде тайм-аут жоқ: AWS туннель көтерілгенше тырысады және customer gateway delete-SA хабарламасын жібергенде қайта бастайды. Егер өндесті әдейі өшірсеңіз, AWS қағуды жалғастырады, және өндестің журналдары мұны көрсетеді.
Туннель күйін ғана емес, қолданба жолын тексеріңіз
up деп хабарлайтын туннель — жұмыс істеп тұрған сұраныспен бірдей емес. VPC-ге қосылған Lambda функциясына әлі де клиент префиксіне subnet маршруты, трафикке рұқсат беретін security group және network ACL ережелері, дұрыс мекенжайды қайтаратын атау шешімі және клиент жағындағы қайтару жолықажет.
Қолданба контекстінен нақты сұраныспен бір рет сынап көріңіз, сәтсіз болса flow logs оқыңыз. AWS бастауы өшірулі болғанда және бос туннельге тұру үшін пакеттер қажет болғанда keepalive трафигі заңды нұсқа, бірақ бұл функцияға бұрап бекітілген түсініксіз ping циклі емес, атауға болатын мониторинг шешімі болуы керек.
Алдымен туннельді кім орнататынын таңдаңыз, содан кейін қалған ақауды оның өз қабатында диагностикалаңыз. AWS-тің бастау туралы құжаттамасы мекенжай, сәйкестік және қайта әрекет талаптарын консоль кеңестерінен гөрі толығырақ қамтиды.