AWS'ти Site-to-Site VPN туннелин баштоого кантип мажбурлоо керек
Иштетүү аракети менен DPD тайм-аут аракети ар башка суроолорго жооп берет. AWS'ти баштоого мажбурлай турган аракетти коюңуз, андан кийин өнөктөштүн дарегин жана колдонмонун маршрутун текшериңиз.
Демейде AWS Site-to-Site VPN customer gateway келишүүнү башташын күтөт. Бул демейки — мыйзам эмес, жөндөө, жана жөндөөнүн аты Startup action. Ага кайрылбастан мурун, дайыма аралашып кетүүчү эки суроону бөлүңүз: туннелди ким тургузат жана сизди кызыктырган пакеттердин ал аркылуу маршруту барбы. Биринчиси гана туннелдин параметрлеринде.
Иштетүү аракетин DPD тайм-аут аракетинен бөлүңүз
Ар бир туннел үчүн эки параметр эки башка окуяны башкарат, жана бирин коюу экинчиси жөнүндө эч нерсе айтпайт.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS жаңы же өзгөртүлгөн туннелди көтөрүшү керек болсо, тандаңыз start. AWS DPD тайм-аутунан кийин келишүүнү да кайра башташы керек болсо, ошол окуя үчүн өзүнчө restart конфигурациялаңыз. Эки параметрдин эч бири колдонмонун кайра аракет кылуу саясаты эмес, жана эч бири ачкычты алмаштыруу аралыгы эмес: DPD өнөктөштүн тирүү экенин текшерет, ал эми ачкычты алмаштыруу иштеп турган туннелдеги security associations'ды алмаштырат.
Туннел дагы эле up деп билдирип турганда тайм-аутка учураган колдонмо маалымат жолунун көйгөйүн баштан кечирет. DPD таймерин кыскартуу аны оңдобойт жана кийин түшүндүрүүгө туура келген алаамат кошуусу мүмкүн.
AWS'тин келишүүнү жөнөтө турган жери барбы, текшериңиз
AWS тараптан баштоо IKEv2 менен гана мүмкүн, жана AWS сунушту кайда жөнөтүүнү билиш үчүн customer gateway'дин жарыя дарегин талап кылат. Эң оор учур — дарексиз түзүлгөн, сертификат менен аутентификацияланган customer gateway ресурсу: AWS документтери дареги бар жаңы customer gateway ресурсун түзүп, андан соң VPN байланышын ошого багыттоону сүрөттөйт.
Сертификат өнөктөштүн ким экенин далилдейт. Ал AWS'ке өнөктөштүн кайда экенин айтпайт, жана булар эки башка талап. Ошондуктан чечим — жаңы сертификат эмес, жаңы customer gateway ресурсу. Сертификатты алмаштыруу AWS'ти ошол эле жетишпеген барар жери менен калтырат.
Эгер customer gateway NAT'тын артында болсо, AWS'ке конфигурацияланган responder identity да керек, IDr, өнөктөштүн идентификациясы түзмөк күткөнгө туура келиши үчүн. Жаңы эле өзгөрткөн параметрди күнөөлөөдөн мурун ошол маанини жана IKE трафигин өткөргөн брандмауэр жолун ырастаңыз. start тандоо жеткиликсиз же туура эмес идентификацияланган өнөктөштү сунушту кабыл алууга мажбурлай албайт.
Өзгөртүүнү бир туннелге колдонуп, үзгүлтүк күтүңүз
VPN байланышында көз карандысыз параметрлери бар эки туннел бар, ошондуктан сырткы дареги боюнча кайсынысын түзөтүп жатканыңызды ырастаңыз. AWS бир убакта бир туннелди гана өзгөртүүгө уруксат берет, жана тандалган туннел аркылуу байланыш бир нече мүнөткө үзүлүшү мүмкүн.
- Site-to-Site VPN байланышын тандап, Modify VPN tunnel options'ти ачыңыз.
- Туннелди сырткы IP дареги боюнча тандап, анын IKE версиясын жана customer gateway ресурсун ырастаңыз.
- Чын эле каалаган иштетүү жана DPD аракеттерин коюп, андан кийин өзүңүз көзөмөлдөгөн терезеде сактаңыз.
- Өзгөртүлгөн туннелдин орношу ырастап, кийинки өзгөртүүгө чейин экинчи туннелди жана маршруттоону текшериңиз.
Техникалык тейлөөдөн мурун бир жүрүм-турум көңүл бурууга татыктуу. AWS баштоо күйгүзүлгөндө тайм-аут жок: AWS туннел көтөрүлгөнгө чейин аракет кылат жана customer gateway delete-SA билдирүүсүн жөнөткөндө кайра баштайт. Эгер өнөктөштү атайын өчүрсөңүз, AWS кагууну улантат, жана өнөктөштүн журналдары муну көрсөтөт.
Туннелдин абалын гана эмес, колдонмонун жолун текшериңиз
up деп билдирген туннел — иштеп жаткан сурам менен бирдей эмес. VPC'ге туташкан Lambda функциясына дагы эле кардардын префиксине subnet маршруту, трафикке уруксат берүүчү security group жана network ACL эрежелери, туура даректи кайтарган ат чечүү жана кардар тараптагы кайтуу жолукерек.
Колдонмо контекстинен реалдуу сурам менен бир жолу сынап көрүңүз, ийгиликсиз болсо flow logs окуңуз. AWS баштоо өчүк болгондо жана бош туннелге туруу үчүн пакеттер керек болгондо keepalive трафиги мыйзамдуу вариант, бирок ал функцияга бурап бекитилген түшүндүрүүсүз ping циклинен эмес, атап бере алган мониторинг чечиминен болушу керек.
Алгач туннелди ким тургузарын тандап, андан кийин калган бузулууну өзүнүн катмарында диагностикалаңыз. AWS'тин баштоо тууралуу документтери дарек, идентификация жана кайра аракет талаптарын консолдун кеңештерине караганда кененирээк камтыйт.