AWS VPN PSK айландыруу: кайсы туннель түшөт жана качан

AWS VPN туннелинин бир алдын ала бөлүшүлгөн ачкычын өзгөртүү ошол туннелди эки тарап макул болгонго чейин түшүрөт. Адегенде альтернативалуу жолду далилдеңиз, анан туннелдерди бир-бирден айландырыңыз.

Туннель эки уч алдын ала бөлүшүлгөн ачкыч боюнча макул болбогон учурда түшөт жана эки тарап жаңы маанини алып жүргөнгө чейин ылдыйда калат. Бул бөлүк күтүлгөн: AWS өзгөртүүнү тандалган туннелдин үзүлүшү деп карайт, ал эми ачкычтар айырмаланганда шерик IKE-ны бүтүрбөйт. Адамдарды таң калтырган нерсе — экинчи жарымы. Экинчи туннель трафикти өзү кабыл албайт, эгер анын аны көтөрө аларын текшербесеңиз. Ушул тартипте айландырыңыз, ошондо үзүлүш бир туннелдин ичинде калат.

Ачкыч өзгөргөндө чындыгында эмне болот

ModifyVpnTunnelOptions бир туннелдин опцияларын кайра жазат, ал тышкы IP дареги менен аныкталат. Туннель бузулуп, кайра курулат, ошондуктан IKE жана IPsec жаңы ачкыч менен нөлдөн сүйлөшөт. AWS үзүлүш бир нече мүнөткө созулушу мүмкүн экенин айтат, бул маршруттоо протоколу байкоосу үчүн жетиштүү узун. Ошол эле байланыштагы экинчи туннелге бул чакыруу тийбейт.

Бир нерсени жөнөтүүдөн мурун билүүгө татыктуу экинчи таасир бар. Өзгөртүү операциясы туннель опцияларынын толук топтомун алат, ошондуктан калтырып кеткен талаа демейки мааниси менен кайра жазылат. Эгер 1-же 2-фазанын жашоо узактыгын же өлүк шерикти аныктоо параметрлерин жөндөгөн болсоңуз, учурдагы маанилерди ошол эле суроодо бериңиз же кийин калыбына келтирүүнү пландаштырыңыз.

Адегенде учурдагы маанилерди окуңуз, анан бир талааны өзгөртүңүз. Бул ырааттуулук — бул тапшырманын бүт тартиби.

Адегенде AWS туннелин туура шерик менен дал келтириңиз

Консоль туннелдерди тартиби боюнча белгилейт, ал эми түзмөгүңүз бул белгини колдонбойт. Туннелди тышкы IP дареги менен аныктап, аны кардар шлюзундагы шерик бөлүмү менен дал келтириңиз. Жергиликтүү конфигурациядагы 1-туннель AWS 1-туннель деп атаган туннелди оңдоп жатканыңыздын далили эмес.

Байланыштын өзүнөн баштаңыз, ал эки туннелди жана ар бири азыр кармап турган ачкычты тизмелейт:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Кайтарылган ачкыч — азыр колдонулуп жаткан ачкыч. Бир нерсени өзгөртүүдөн мурун аны шериктин конфигурациясы менен салыштырыңыз, анткени мурунтан бар болгон дал келбестик эч качан туруктуу болбогон туннелди түшүндүрөт.

Адегенде экинчи туннелге трафикти көтөрүүгө жол бериңиз

Бир байланыштагы эки туннель түзмөгүңүз экөөнү тең конфигурациялаганын, экөө тең сизге керектүү префикстерди жарыялаганын же алардын ортосунда трафик жүргөнүн далилдебейт. Альтернативалуу туннелдин сүйлөшүүсүн, анын маршруттарын жана эки багыттагы реалдуу колдонмо агымын текшериңиз. BGP менен тирүү коңшулук пайдалуу далил, бирок префикстерди ырастоо менен бирдей эмес. Статикалык маршруттоодо шлюз жолду кантип тандаарын жана артыкчылыктуу жол жоголгондо эмне кыларын ырастаңыз.

Эгер альтернатива жүктөмдү көтөрө албаса, ачкычка тийүүдөн мурун үзүлүштү пландаштырыңыз же альтернативалуу туннелди оңдоңуз. Консоль баракчасындагы статус жарыгы үзгүлтүксүз кызматтын убадасы эмес.

Бир туннелди айландырыңыз, анан реалдуу трафик менен текшериңиз

Альтернативалуу жол далилденгенден кийин ырааттуулук кыска. Туннелдин дарегин, анын шеригин жана жашыруун эмес параметрлерди жазып алыңыз, ал эми шлюзга башкаруу жолун сиз үзгүлтүккө учурата турган туннелге көз каранды кылбай кармаңыз.

  1. Тандалган тышкы дарек үчүн кардар шлюзунун шеригин жаңыртыңыз же өзгөртүү API чакыруусунан бир нече секунддан кийин күчүнө кирериндей даярдаңыз.
  2. Жаңы ачкыч менен учурдагы жашоо узактыктарын жана DPD маанилерин кошуп, өзгөртүү чакыруусун жөнөтүңүз.
  3. IKE жана IPsec кайра келгенче күтүңүз, анан маршруттарды жана керектүү префикстерди ырастаңыз.
  4. Ошол туннел аркылуу өкүлдүк колдонмо агымын өткөрүп, эки багытты тең байкаңыз.

Учтар макул болбогонго чейин жана AWS өзгөртүүнү колдонгонго чейин туннель колдонууга жараксыз, ошондуктан шерикти жаңыртуу түшкү тамактан кийин эмес, дароо ээрчиши керек. Өзгөртүлгөн туннель реалдуу трафикти көтөргөндө гана процедураны экинчисинде кайталаңыз.

Биринчи туннелден кийин калыбына келтирүү же маршруттоо дагы эле белгисиз болсо токтоңуз. Жарым иштеген эки туннель иштээрин билген бирөөдөн жаман.

Калыбына келтирүү тыгындаса, IKE тарабын окуңуз

Эки уч жаңы ачкычты кармагандан кийин да ылдыйда калган туннель адатта айландыруу ачкан, жаратпаган саясат дал келбестиги. Сунуштар, шерик жөнөткөн инсандык жана трафик селекторлору — баары AWS тарабы менен дал келиши керек, ал эми орногон туннелден аман өткөн маани жаңы сүйлөшүү учурунда дагы эле четке кагылышы мүмкүн. Ачкычты экинчи жолу өзгөртүүдөн мурун сүйлөшүүнүн статусун жана ага тиркелген билдирүүнү окуңуз.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Эгер өзгөртүүнү артка кайтаруу керек болсо, эски ачкычты мурун иштегендиги үчүн гана калыбына келтирбеңиз. Бузулган ачкычты бузулган деп карап, ордуна сүйлөшүүнү оңдоңуз. Эки туннелди текшерүү жана ар бир шерик кайсы маанини кармаарын жазуу үчүн жашыруундардын тизмесин жаңыртуу менен аяктаңыз, ал эми AWS туннель опцияларынын документтерин runbook жанында кармаңыз.

Тектеш макалалар