Cloud VPN Grenzen, déi Dir net ka justéieren: IKE-Liewensdauer an Peer-NAT

Cloud VPN verhandelt IKE-Liewensdaueren an fixe Grenzen a brauch en Een-zu-Een NAT beim Peer. Plangt den entfernten Apparat dorop, net op d’Säit vu Google.

Gitt dem entfernten Apparat eng Liewensdauer vun 24 Stonnen fir Phase 1 an den Cloud VPN-Tunnel bleift ënnen, och wann op der Säit vu Google alles richteg konfiguréiert ass. De Peer proposéiert en Wäert, deen den Responder net akzeptéiere wäert, dofir schléit d’Verhandlung entweder komplett fehl oder fänkt ëmmer erëm un. Cloud VPN begrenzt Phase 1 op 36,000 Sekonnen, also zéng Stonnen, an dës Grenz ass keng Astellung, déi Dir ka méi héich setzen. D’Ännerung gehéiert op den entfernten Apparat.

De Peer freet, den Responder entscheet

IKE ass eng Uebung am Mateneen-Passen vun zwou Propositiounssets. Den Tunnel entsteet nëmmen do, wou d’Sette sech bannent de Grenzen iwwerschneiden, déi den Responder akzeptéiert, an dofir gëtt eng Liewensdauer ausserhalb vum Beräich guer keen deelweisen Tunnel. Den übleche Feeler ass, d’Konfiguratioun vum Peer als Wonschlëscht ze behandelen an net als Propositioun. Eng eidel Schnëtt léisst den Tunnel ënnen, esou richteg wéi d’Routing an d’Selektoren och sinn.

Liest den eegene Zoustand vum Tunnel, ier Dir en Fall opmaacht, well de detailléierte Status meeschtens d’Phase nennt, déi feelgeschloen ass:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Vergläicht dat, wat zréckkënnt, mat dem ënnerstëtzten Set fir Ären Gateway-Typ an IKE-Versioun, an notéiert béid Verkéiersselektoren, wärend Dir do sidd. Eng Selektoren-Differenz gëtt déiselwecht Symptomer vun engem ënnen Tunnel wéi eng Algorithmus-Differenz, an anescht wéi den Algorithmus ass dës Är Saach ze behiewen.

36,000 Sekonnen ass de Plafong

Phase 1 hält bei 36,000 Sekonnen op. En Apparat, deen op 86,400 gesat ass, freet eppes, mat deem den Responder ni averstanen wäert, an nei probéieren ännert seng Meenung net. Dréit d’entfernt Propositioun zréck an de Beräich an déiselwecht Konfiguratioun entsteet; d’Asymmetrie ass déi ganz Lektioun, well Dir Ären eegene Wäert erofsetze kënnt an dee vu Google net eropsetze kënnt.

Schreift de gewielte Wäert an d’Designnotizen. Soss widderhëlt den nächsten Ingenieur den 24-Stonnen-Experiment an trëfft op déiselwecht Mauer.

Den ënnerstëtzten Set gëtt pro Gateway-Typ an IKE-Versioun publizéiert an der Cloud VPN-Iwwersiicht, also liest den Abschnitt fir Är Topologie amplaz eng allgemeng IKE-Guide.

En Tunnel, deen no Plang fält

Phase 2 verhält sech anescht: wann déi zwou Enner sech net eens sinn, follegt d’Schlëssel-Erneierung dem méi kuerzen Intervall. En Peer, dee d’Differenz als fatal gesäit, léisst den Tunnel amplaz falen, sou datt eng eenzeg Differenz wéi zwee onofhängeg Feeler ausgesäit. Kuckt de Rhythmus vun der Schlëssel-Erneierung, net nëmmen déi éischt Verbindung. En Tunnel, deen eropkënnt an duerno an engem reegelméissegen Takt fält, ass méi dacks eng Liewensdauer-Differenz wéi e Routing-Defekt.

Korreliert déi Falt-Zäitstempelen mat den eegene Logge vum Peer, ier Dir eppes ännert, well eng Selektoren- oder Routeännerung dee selwechte Rhythmus ka nomaachen. Wa den Takt mam Phase 2-Timer iwwereneestëmmt, ass d’Ursaach fonnt, ouni eng Propositioun unzepaken.

D’Sette komme vum Gateway-Typ

Cipher- an Integritéitssette sinn net e Profil pro Tunnel, deen Dir änneren, wéi et strongSwan erlaabt. Dir wielt se nom Gateway-Typ an IKE-Versioun, an no engem Profil ze sichen, deen et net gëtt, verschwënnt en Nomëtteg.

En ale Apparat, deen näischt bannent dem ënnerstëtzten Set ubitt, léisst zwou éierlech Weeër: ersetzt den Apparat, oder terminéiert op engem Software-Gateway, deen Dir kontrolléiert, a rout vun do an d’VPC. Alles anescht ass eng Ëmwee, déi déi nächst Iwwerpréiwung net besteet.

Eng extern Adress pro Apparat

D’extern Adress vum Peer muss Een-zu-Een op seng intern Adress gemappt ginn. En iwwerlaaschten PAT-Pool ka net funktionéieren, well méi Hosts hannert enger eenzeger ëffentlecher Adress dem Responder keng Méiglechkeet ginn, se z’ënnerscheeden. Wou méi Hosts eng Adress mussen deelen, muss den Tunnel do ophalen, wou ee se kann auserneenhalen.

Halt déi extern Adress och stabil. Verréckelt den Apparat hannert en aneren NAT an d’Verbindung brécht, och wann all Propositioun nach passt. Et ass der Mühe wäert opzeschreiwen, wéi eng Wäerter vu Google sinn a wéi eng Är: Liewensdaueren, Sette an Een-zu-Een NAT si fix op hirer Säit, wärend Propositiounen, Selektoren, Routing a BGP-Prioritéiten Är sinn.

Ähnlech Artikelen