Wéi een AWS dozou bréngt, en Site-to-Site VPN-Tunnel ze starten
D'Startaktioun an d'DPD-Timeout-Aktioun beäntweren ënnerschiddlech Froen. Set déi, déi AWS initiéiere léisst, a kontrolléier duerno d'Peer-Adress an d'Route vun der App.
Standardméisse waart en AWS Site-to-Site VPN drop, datt de customer gateway d'Verhandlunge ufänkt. Dëse Standard ass eng Astellung, kee Gesetz, an d'Astellung heescht Startup action. Ier Dir dozou gräift, trennt zwou Froen, déi stänneg vermëscht ginn: wien den Tunnel opbaut, a wéi ob d'Paketen, déi Iech interesséieren, eng Route derduerch hunn. Nëmmen déi éischt steet an den Tunneloptiounen.
Trennt d'Startaktioun vun der DPD-Timeout-Aktioun
Zwou Optiounen pro Tunnel steieren zwou verschidden Evenementer, an déi eng ze setzen seet näischt iwwer déi aner.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Wann AWS en neien oder geännerten Tunnel opbaue soll, wielt start. Wann AWS d'Verhandlunge no engem DPD-Timeout och nei starte soll, konfiguréiert restart fir dat Evenement getrennt. Keng vun den zwou Optiounen ass eng Widderhuelungspolitik vun der App, a keng ass en Intervall fir de Schlësselwiessel: DPD préift, ob de Peer lieft, wärend de Schlësselwiessel d'Security associations op engem liewegen Tunnel ersetzt.
Eng App, déi an en Timeout leeft, wärend den Tunnel nach ëmmer up mellt, huet e Problem um Datenwee. Den DPD-Timer ze verkierzen hëlleft net a kann Onrou bäisetzen, déi Dir spéider misst erklären.
Kontrolléiert, datt AWS eng Plaz huet, wou d'Verhandlunge kënnen higeschéckt ginn
D'Initiatioun vun der AWS-Säit geet nëmme mat IKEv2, an AWS brauch d'ëffentlech Adress vum customer gateway, fir ze wëssen, wou de Projet soll higoen. Dee Fall, dee wierklech wéi deet, ass eng zertifikatsauthentifizéiert customer gateway-Ressource, déi ouni Adress ugeluecht gouf: d'AWS-Dokumentatioun beschreift, eng nei customer gateway-Ressource mat der Adress unzeleeën an duerno d'VPN-Verbindung dorop ëmzeleeden.
En Zertifikat beweist, wien de Peer ass. Et seet AWS net, wou de Peer ass, an dat sinn zwou verschidden Ufuerderungen. Dofir ass d'Léisung eng nei customer gateway-Ressource an net en neit Zertifikat. Den Zertifikat ze wiesselen hannerléisst AWS mat der selwechter fehlender Destinatioun.
Wann de customer gateway hannert NAT sëtzt, brauch AWS och eng konfiguréiert responder identity, IDr, sou datt d'Identitéit vum Peer deem entsprécht, wat den Apparat erwaart. Bestätegt dee Wäert an de Firewallwee, deen IKE-Trafic erausschnappt, ier Dir d'Optioun beschëllegt, déi Dir just geännert hutt. start ze wielen kann en onerrechbare oder falsch identifizéierte Peer net dozou bréngen, e Projet unzehuelen.
Setzt d'Ännerung op een Tunnel ëm a rechent mat enger Ënnerbriechung
Eng VPN-Verbindung huet zwéin Tunnelen mat onofhängegen Optiounen, also bestätegt iwwer d'Ausseadress, wéi en Tunnel Dir ännert. AWS erlaabt, een Tunnel op eemol ze änneren, an d'Verbindung iwwer den ausgewielten Tunnel kann e puer Minute laang ënnerbrach ginn.
- Wielt d'Site-to-Site VPN-Verbindung an öffnet Modify VPN tunnel options.
- Wielt den Tunnel no der Ausse-IP-Adress a bestätegt seng IKE-Versioun an d'customer gateway-Ressource.
- Setzt d'Start- an DPD-Aktiounen, déi Dir wierklech wëllt, a späichert dann an engem Fenster, dat Dir kontrolléiert.
- Bestätegt, datt den geännerten Tunnel sech opbaut, a kontrolléiert den aneren Tunnel an d'Routing virun der nächster Ännerung.
Eng Verhalen verdéngt Opmierksamkeet virun der Ënnerhalt. Mat ageschaltener AWS-Initiatioun gëtt et keen Timeout: AWS probéiert weider, bis den Tunnel steet, an et fänkt nei un, wann de customer gateway eng delete-SA-Noriicht schéckt. Wann Dir de Peer bewosst erofhëlt, klappt AWS weider, an d'Loge vum Peer wäerten dat weisen.
Iwwerpréift de Wee vun der App, net just den Zoustand vum Tunnel
En Tunnel, deen up mellt, ass net datselwecht wéi eng Ufro, déi funktionnéiert. Eng Lambda-Funktioun, déi un eng VPC ugebonnen ass, brauch ëmmer nach eng subnet-Route zum Prefix vum Client, Regelen a security group an network ACL, déi den Trafic erlaben, eng Nimmopléisung, déi déi richteg Adress zréckgëtt, an en Zréckwee op der Client-Säit.
Testt eemol mat enger richtege Ufro aus dem Kontext vun der App, a liest duerno d'flow logs, wann et feelt. Keepalive-Trafic ass eng légitim Optioun, wann d'AWS-Initiatioun aus ass an en idle Tunnel Pakete brauch, fir uewen ze bleiwen, awer et sollt eng Iwwerwaachungsentscheedung sinn, déi Dir nenne kënnt, net eng onerkläert ping-Schlaif, déi un eng Funktioun ugeschrauft ass.
Wielt fir d'éischt, wien den Tunnel opbaut, an diagnostizéiert duerno de Rescht vum Feeler op senger eegener Schicht. D' AWS-Dokumentatioun iwwer d'Initiatioun deckt d'Ufuerderungen un Adress, Identitéit a Widderhuelung méi detailléiert of wéi d'Hiweiser an der Konsole.