AWS VPN PSK айналдыру: қай туннель түседі және қашан

Туннель екі ұш алдын ала ортақ кілт бойынша келіспеген сәтте түседі және екі жақ жаңа мәнді алып жүргенше төменде қалады. Бұл бөлік күтілетін: AWS өзгерісті таңдалған туннельдің үзілуі деп қарайды, ал кілттер әртүрлі болғанша серіктес IKE-ны аяқтамайды. Адамдарды таңқалдыратыны — екінші жартысы. Екінші туннель трафикті өздігінен қабылдамайды, егер оның оны көтере алатынын тексермесеңіз. Осы ретпен айналдырыңыз, сонда үзіліс бір туннельдің ішінде қалады.

Кілт өзгергенде шын мәнінде не болады

ModifyVpnTunnelOptions бір туннельдің опцияларын қайта жазады, ол сыртқы IP мекенжайымен анықталады. Туннель бұзылып, қайта салынады, сондықтан IKE мен IPsec жаңа кілтпен нөлден келіссөз жүргізеді. AWS үзіліс бірнеше минутқа созылуы мүмкін екенін айтады, бұл маршруттау протоколы байқауы үшін жеткілікті ұзақ. Сол қосылымдағы екінші туннельге бұл шақыру тимейді.

Бірдеңе жібермес бұрын білуге тұрарлық екінші әсер бар. Өзгерту операциясы туннель опцияларының толық жиынтығын алады, сондықтан қалдырып кеткен өріс әдепкі мәнімен қайта жазылады. Егер 1-ші немесе 2-ші фазаның өмір сүру ұзақтығын немесе өлі серіктесті анықтау параметрлерін реттеген болсаңыз, ағымдағы мәндерді сол сұрауда беріңіз немесе кейін қалпына келтіруді жоспарлаңыз.

Алдымен ағымдағы мәндерді оқыңыз, содан кейін бір өрісті өзгертіңіз. Бұл реттілік — осы тапсырманың бүкіл тәртібі.

Алдымен AWS туннелін дұрыс серіктеспен сәйкестендіріңіз

Консоль туннельдерді рет бойынша белгілейді, ал құрылғыңыз бұл белгіні пайдаланбайды. Туннельді сыртқы IP мекенжайымен анықтап, оны тұтынушы шлюзіндегі серіктес бөлімімен сәйкестендіріңіз. Жергілікті конфигурациядағы 1-туннель AWS 1-туннель деп атайтын туннельді өңдеп жатқаныңыздың дәлелі емес.

Қосылымның өзінен бастаңыз, ол екі туннельді және әрқайсысы қазір ұстап тұрған кілтті тізімдейді:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Қайтарылған кілт — қазір пайдаланылып жатқан кілт. Бірдеңе өзгертпес бұрын оны серіктес конфигурациясымен салыстырыңыз, өйткені бұрыннан бар сәйкессіздік ешқашан тұрақты болмаған туннельді түсіндіреді.

Алдымен екінші туннельге трафикті көтеруге рұқсат етіңіз

Бір қосылымдағы екі туннель құрылғыңыздың екеуін де конфигурациялағанын, екеуі де қажет префикстерді жариялайтынын немесе олардың арасында трафик жүретінін дәлелдемейді. Балама туннельдің келіссөзін, оның маршруттарын және екі бағыттағы нақты қолданба ағынын тексеріңіз. BGP кезінде тірі көршілестік пайдалы дәлел, бірақ префикстерді растаумен бірдей емес. Статикалық маршруттау кезінде шлюздің жолды қалай таңдайтынын және қалаулы жол жоғалғанда не істейтінін растаңыз.

Егер балама жүктемені көтере алмаса, кілтке тимес бұрын үзілісті жоспарлаңыз немесе балама туннельді жөндеңіз. Консоль бетіндегі күй шамы үздіксіз қызметке уәде емес.

Бір туннельді айналдырыңыз, содан кейін нақты трафикпен тексеріңіз

Балама жол дәлелденгеннен кейін реттілік қысқа. Туннель мекенжайын, оның серіктесін және құпия емес параметрлерді жазып алыңыз, ал шлюзге басқару жолын үзуге дайындалып отырған туннельге тәуелді етпей ұстаңыз.

1. Таңдалған сыртқы мекенжай үшін тұтынушы шлюзінің серіктесін жаңартыңыз немесе өзгерісті API шақыруынан бірнеше секунд өткен соң күшіне енетіндей дайындаңыз.
2. Өзгерту шақыруын жаңа кілтпен, ағымдағы өмір сүру ұзақтықтарымен және DPD мәндерімен бірге жіберіңіз.
3. IKE мен IPsec қайта оралғанша күтіңіз, содан кейін маршруттарды және қажетті префикстерді растаңыз.
4. Сол туннель арқылы өкілдік қолданба ағынын өткізіп, екі бағытты да бақылаңыз.

Ұштар келіспегенше және AWS өзгерісті қолданғанша туннель пайдалануға жарамсыз, сондықтан серіктесті жаңарту түскі астан кейін емес, бірден ілесуі керек. Өзгертілген туннель нақты трафикті көтергенде ғана процедураны екіншісінде қайталаңыз.

Бірінші туннельден кейін қалпына келтіру немесе маршруттау әлі белгісіз болса, тоқтаңыз. Жартылай жұмыс істейтін екі туннель — жұмыс істейтінін білетін біреуден нашар.

Қалпына келтіру тұрып қалса, IKE жағын оқыңыз

Екі ұш жаңа кілтті ұстағаннан кейін де төменде қалатын туннель әдетте айналдыру ашқан, жасамаған саясат сәйкессіздігі. Ұсыныстар, серіктес жіберетін сәйкестік және трафик селекторлары — бәрі AWS жағымен сәйкесуі керек, ал орныққан туннельден аман өткен мән жаңа келіссөз кезінде әлі де қабылданбауы мүмкін. Кілтті екінші рет өзгертпес бұрын келіссөз күйі мен оған тіркелген хабарламаны оқыңыз.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Егер өзгерісті кері қайтару қажет болса, ескі кілтті бұрын жұмыс істегендіктен ғана қалпына келтірмеңіз. Бұзылған кілтті бұзылған деп қарап, орнына келіссөзді түзетіңіз. Екі туннельді тексеріп, құпиялар тізімін жаңартумен аяқтаңыз, осылайша әр серіктес қай мәнді ұстайтынын жазады, ал AWS туннель опцияларының құжаттамасын runbook жанында ұстаңыз.