Реттеу мүмкін емес Cloud VPN шектеулері: IKE мерзімі және peer NAT

Қашықтағы құрылғыға 24 сағаттық 1-фаза мерзімін беріңіз және Google жағында бәрі дұрыс конфигурацияланған болса да Cloud VPN туннелі төменде қалады. Peer жауап беруші қабылдамайтын мәнді ұсынып отыр, сондықтан келіссөз мүлдем сәтсіз аяқталады немесе шексіз қайта басталады. Cloud VPN 1-фазаны 36,000 секундқа, яғни он сағатқа шектейді және бұл шек көтеруге болатын параметр емес. Өзгеріс қашықтағы құрылғыға тиесілі.

Peer сұрайды, жауап беруші шешеді

IKE — екі ұсыныс жиынын сәйкестендіру жаттығуы. Туннель тек жауап беруші қабылдайтын шекаралар ішінде жиындар қиылысатын жерде ғана қалыптасады, сондықтан ауқымнан тыс мерзім ешбір ішінара туннель туғызбайды. Кәдімгі қате — peer конфигурациясын ұсыныс емес, тілектер тізімі деп қарау. Бос қиылыс туннельді төменде ұстайды, маршруттау мен селекторлар қаншалықты дұрыс болса да.

Іс ашпас бұрын туннельдің өз күйін оқыңыз, өйткені егжей-тегжейлі мәртебе әдетте сәтсіз аяқталған кезеңді атайды:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Қайтарылғанды өз шлюзіңіздің түрі мен IKE нұсқасы үшін қолдау көрсетілетін жиынмен салыстырыңыз және сол жерде екі трафик селекторын да жазып алыңыз. Селектор сәйкессіздігі алгоритм сәйкессіздігі сияқты туннельдің төмендеу симптомын береді, және алгоритмнен өзгеше, мұны өзіңіз түзетуіңіз керек.

36,000 секунд — жоғарғы шек

1-фаза 36,000 секундта тоқтайды. 86,400-ге қойылған құрылғы жауап беруші ешқашан келіспейтін нәрсені сұрайды, ал қайталау оның ойын өзгертпейді. Қашықтағы ұсынысты ауқымға қайтарыңыз, сонда сол конфигурация орнығады; асимметрия — бүкіл сабақ, өйткені өз мәніңізді төмендете аласыз, ал Google мәнін көтере алмайсыз.

Таңдалған мәнді дизайн жазбаларына жазыңыз. Әйтпесе келесі инженер 24 сағаттық тәжірибені қайталап, сол қабырғаға тіреледі.

Қолдау көрсетілетін жиын шлюз түрі мен IKE нұсқасы бойынша мына жерде жарияланады: Cloud VPN шолуы, сондықтан жалпы IKE нұсқаулығының орнына өз топологияңызға арналған бөлімді оқыңыз.

Кесте бойынша құлайтын туннель

2-фаза басқаша әрекет етеді: екі ұш келіспегенде кілттерді жаңарту қысқарақ аралыққа жүреді. Сәйкессіздікті өлімге әкеледі деп санайтын peer туннельді құлатып тастайды, сондықтан бір сәйкессіздік екі байланыссыз ақау болып көрінуі мүмкін. Кілт жаңарту ырғағын бақылаңыз, тек бірінші қосылымды емес. Көтеріліп, кейін тұрақты ырғақпен құлайтын туннель маршруттау ақауынан гөрі мерзім сәйкессіздігі болып келеді.

Бірдеңені өзгертер алдында сол құлау уақыт белгілерін peer-дің өз журналдарымен байланыстырыңыз, өйткені селектор немесе маршрут өзгерісі сол ырғақты имитациялай алады. Егер ырғақ 2-фаза таймеріне сай келсе, себеп ұсынысқа тимей-ақ табылды.

Жиындар шлюз түрінен шығады

Шифрлау және тұтастық жиындары strongSwan сияқты өңдейтін әр туннельге арналған профиль емес. Оларды шлюз түрі мен IKE нұсқасы бойынша таңдайсыз, ал жоқ профильді іздеу түстен кейінгі уақытты ысырап етеді.

Қолдау көрсетілетін жиын ішінде ештеңе ұсынбайтын ескі құрылғы екі адал жол қалдырады: құрылғыны ауыстырыңыз немесе өзіңіз басқаратын бағдарламалық шлюзде аяқтап, сол жерден VPC-ға маршруттаңыз. Қалғанының бәрі келесі шолудан өтпейтін айналма шешім.

Әр құрылғыға бір сыртқы мекенжай

Peer-дің сыртқы мекенжайы оның ішкі мекенжайына бір-бірге сәйкесуі керек. Артық жүктелген PAT пулы жұмыс істей алмайды, өйткені бір жария мекенжайдың артындағы бірнеше хост жауап берушіге оларды ажыратудың ешбір жолын бермейді. Бірнеше хост мекенжайды бөлісуге тиіс болса, туннель оларды ажырата алатын жерде аяқталуы керек.

Сол сыртқы мекенжайды да тұрақты ұстаңыз. Құрылғыны басқа NAT артына жылжытыңыз, байланыс үзіледі, ал әр ұсыныс әлі де сәйкес келеді. Қай мәндер Google-дікі және қайсысы сіздікі екенін жазып қоюға тұрарлық: мерзімдер, жиындар және бір-бірге NAT олар жағында тіркелген, ал ұсыныстар, селекторлар, маршруттау және BGP басымдықтары сіздікі.