Ырастоо мүмкүн эмес Cloud VPN чектөөлөрү: IKE мөөнөтү жана peer NAT

Алыскы түзмөккө 24 сааттык 1-фаза мөөнөтүн бериңиз жана Google тарабында баары туура конфигурацияланган болсо да Cloud VPN туннели төмөн бойдон калат. Peer жооп берүүчү кабыл албай турган маанини сунуштап жатат, ошондуктан сүйлөшүү толугу менен ийгиликсиз болот же чексиз кайра башталат. Cloud VPN 1-фазаны 36,000 секундга, башкача айтканда он саатка чектейт жана бул чек көтөрө албаган параметр. Өзгөртүү алыскы түзмөккө таандык.

Peer сурайт, жооп берүүчү чечет

IKE — эки сунуш топтомун шайкештештирүү көнүгүүсү. Туннель жооп берүүчү кабыл алган чектердин ичинде топтомдор кесилишкен жерде гана пайда болот, ошондуктан диапазондон тышкаркы мөөнөт эч кандай жарым-жартылай туннель жаратпайт. Кадимки ката — peer конфигурациясын сунуш эмес, каалоолор тизмеси деп кароо. Бош кесилиш туннелди төмөн кармайт, маршруттоо жана селекторлор канчалык туура болсо да.

Иш ачпастан мурун туннелдин өз абалын окуңуз, анткени деталдуу статус адатта ийгиликсиз болгон этапты атайт:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Кайтарылганды өз шлюзуңуздун түрү жана IKE версиясы үчүн колдоого алынган топтом менен салыштырыңыз жана ошол жерде эки трафик селекторун тең жазып алыңыз. Селектордун дал келбестиги алгоритмдин дал келбестиги сыяктуу эле туннелдин төмөндөшүнүн белгисин берет, жана алгоритмден айырмаланып, муну өзүңүз оңдошуңуз керек.

36,000 секунд — жогорку чек

1-фаза 36,000 секундда токтойт. 86,400гө коюлган түзмөк жооп берүүчү эч качан макул болбой турган нерсени сурайт, ал эми кайталоо анын оюн өзгөртпөйт. Алыскы сунушту диапазонго кайтарыңыз, ошондо ошол эле конфигурация орнойт; асимметрия — бүт сабак, анткени өз мааниңизди төмөндөтө аласыз, ал эми Googleдукун көтөрө албайсыз.

Тандалган маанини долбоор жазууларына жазыңыз. Болбосо кийинки инженер 24 сааттык тажрыйбаны кайталап, ошол эле дубалга туш болот.

Колдоого алынган топтом шлюз түрү жана IKE версиясы боюнча мында жарыяланат: Cloud VPN сереби, ошондуктан жалпы IKE колдонмосунун ордуна өз топологияңызга арналган бөлүмдү окуңуз.

График боюнча кулай турган туннель

2-фаза башкача жүрөт: эки учуш макулдашпаса, ачкычтарды жаңыртуу кыскараак интервалга жүрөт. Дал келбестикти өлүмгө алып келет деп эсептеген peer туннелди кулатып салат, ошондуктан бир дал келбестик эки байланышсыз бузулуудай көрүнүшү мүмкүн. Ачкыч жаңыртуу ыргагын караңыз, биринчи туташууну гана эмес. Көтөрүлүп, анан туруктуу ыргакта кулаган туннель маршруттоо кемчилигинен көрө мөөнөттүн дал келбестиги болуп келет.

Бир нерсени өзгөртүүдөн мурун ошол кулоо убакыт белгилерин peerдин өз журналдары менен байланыштырыңыз, анткени селектор же маршрут өзгөрүүсү ошол эле ыргакты туурай алат. Эгер ыргак 2-фазанын таймерине туура келсе, себеп сунушка тийбестен табылды.

Топтомдор шлюз түрүнөн келет

Шифрлоо жана бүтүндүк топтомдору strongSwan сыяктуу оңдой турган ар бир туннелдин профили эмес. Аларды шлюз түрү жана IKE версиясы боюнча тандайсыз, ал эми жок профилди издөө түштөн кийинки убакытты текке кетирет.

Колдоого алынган топтомдун ичинде эч нерсе сунуштабаган эски түзмөк эки чынчыл жол калтырат: түзмөктү алмаштырыңыз, же өзүңүз башкарган программалык шлюздө аяктап, андан VPCге маршруттаңыз. Калганынын баары кийинки кароодо өтпөй турган айлана жол.

Ар бир түзмөккө бир тышкы дарек

Peerдин тышкы дареги анын ички дарегине бир-бирге шайкеш келиши керек. Ашыкча жүктөлгөн PAT бассейни иштей албайт, анткени бир коомдук даректин артындагы бир нече хост жооп берүүчүгө аларды ажыратуунун эч кандай жолун бербейт. Бир нече хост даректи бөлүшүүгө туура келсе, туннель аларды айырмалай алган жерде аякташы керек.

Ошол тышкы даректи да туруктуу кармаңыз. Түзмөктү башка NATтын артына жылдырыңыз, байланыш үзүлөт, ал эми ар бир сунуш дагы эле шайкеш келет. Кайсы маанилер Googleдуку жана кайсылары сиздики экенин жазып коюуга татыктуу: мөөнөттөр, топтомдор жана бир-бирге NAT алардын тарабында туруктуу, ал эми сунуштар, селекторлор, маршруттоо жана BGP артыкчылыктары сиздики.