조정할 수 없는 Cloud VPN 한계: IKE 수명과 피어 NAT

원격 장비에 24시간의 1단계 수명을 설정하면 Google 쪽이 모두 올바르게 구성되어 있어도 Cloud VPN 터널은 내려간 채로 남습니다. 피어가 응답자가 받아들이지 않을 값을 제안하고 있어 협상은 완전히 실패하거나 끝없이 다시 시작됩니다. Cloud VPN은 1단계를 36,000초, 즉 열 시간으로 제한하며 이 상한은 올릴 수 있는 설정이 아닙니다. 바꿔야 할 곳은 원격 장비입니다.

묻는 쪽은 피어, 결정하는 쪽은 응답자

IKE는 두 제안 집합을 맞춰 보는 작업입니다. 터널은 응답자가 받아들이는 범위 안에서 두 집합이 겹치는 곳에서만 형성되므로, 범위를 벗어난 수명은 부분적인 터널조차 만들지 못합니다. 피어의 구성을 제안이 아니라 희망 목록으로 다루는 것이 흔한 실수입니다. 교집합이 비면 라우팅과 셀렉터가 아무리 정확해도 터널은 내려간 채로 남습니다.

사례를 열기 전에 터널 자체의 상태를 읽으십시오. 상세 상태는 보통 실패한 단계를 지목합니다:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

돌아온 내용을 게이트웨이 유형과 IKE 버전에서 지원되는 집합과 비교하고, 그 자리에서 두 트래픽 셀렉터를 모두 기록하십시오. 셀렉터 불일치는 알고리즘 불일치와 같은 터널 다운 증상을 내며, 알고리즘과 달리 이쪽은 직접 고쳐야 합니다.

36,000초가 상한입니다

1단계는 36,000초에서 멈춥니다. 86,400으로 설정한 장비는 응답자가 결코 동의하지 않을 값을 요구하는 것이며, 다시 시도해도 그 판단은 바뀌지 않습니다. 원격 제안을 범위 안으로 되돌리면 같은 구성이 맺어집니다. 비대칭성이 핵심 교훈입니다. 내 값은 낮출 수 있어도 Google의 값은 올릴 수 없습니다.

고른 값을 설계 노트에 적어 두십시오. 그러지 않으면 다음 엔지니어가 24시간 실험을 다시 하고 같은 벽에 부딪힙니다.

지원되는 집합은 게이트웨이 유형과 IKE 버전별로 다음에서 공개됩니다: Cloud VPN 개요에서, 일반 IKE 안내서가 아니라 자신의 토폴로지에 해당하는 절을 읽으십시오.

일정에 따라 끊기는 터널

2단계는 다르게 동작합니다. 양쪽 끝이 합의하지 못하면 키 재생성은 더 짧은 간격을 따릅니다. 불일치를 치명적으로 보는 피어는 대신 터널을 끊어 버리므로, 하나의 불일치가 서로 무관한 두 장애처럼 보일 수 있습니다. 첫 연결만 보지 말고 키 재생성의 리듬을 보십시오. 일정한 박자로 올라왔다가 끊기는 터널은 라우팅 결함보다 수명 불일치인 경우가 많습니다.

무엇이든 바꾸기 전에 그 끊김 시각을 피어 자체의 로그와 대조하십시오. 셀렉터나 경로 변경도 같은 리듬을 흉내 낼 수 있습니다. 박자가 2단계 타이머와 맞으면 제안을 건드리지 않고도 원인을 찾은 것입니다.

스위트는 게이트웨이 유형에서 나옵니다

암호와 무결성 스위트는 strongSwan처럼 터널마다 편집하는 프로파일이 아닙니다. 게이트웨이 유형과 IKE 버전으로 고르는 것이며, 존재하지 않는 프로파일을 찾는 것은 오후 하나를 낭비하는 일입니다.

지원되는 집합 안에 아무것도 내놓지 못하는 구형 장비에는 정직한 길이 두 가지 있습니다. 장비를 교체하거나, 직접 관리하는 소프트웨어 게이트웨이에서 종단한 뒤 거기서 VPC로 라우팅하는 것입니다. 그 밖의 방법은 다음 검토에서 떨어질 임시방편입니다.

장비당 외부 주소 하나

피어의 외부 주소는 내부 주소에 일대일로 대응해야 합니다. 과부하된 PAT 풀은 동작할 수 없습니다. 하나의 공인 주소 뒤에 여러 호스트가 있으면 응답자가 그것들을 구분할 방법이 없기 때문입니다. 여러 호스트가 주소를 공유해야 한다면 터널은 그것들을 구별할 수 있는 지점에서 끝나야 합니다.

그 외부 주소도 안정적으로 유지하십시오. 장비를 다른 NAT 뒤로 옮기면 모든 제안이 여전히 맞더라도 연결이 끊어집니다. 어떤 값이 Google 것이고 어떤 것이 내 것인지 적어 둘 만합니다. 수명, 스위트, 일대일 NAT는 상대 쪽에 고정되어 있고, 제안, 셀렉터, 라우팅, BGP 우선순위는 내 쪽입니다.