Eng AWS VPN-PSK rotéieren: wéi en Tunnel fält, a wéini

D'Ännere vun engem virgedeelte Schlëssel vun engem AWS VPN-Tunnel léisst dësen Tunnel fale bis béid Säiten d'accord sinn. Beweist fir d'éischt den alternativen Wee, a rotéiert dann een Tunnel nom aneren.

Den Tunnel fält de Moment wou déi zwou Enner sech iwwer de virgedeelte Schlëssel net eens sinn, an hie bleift ënnen bis béid Säiten den neie Wäert droen. Dësen Deel ass erwaart: AWS behandelt d'Ännerung als eng Ënnerbriechung vum gewielten Tunnel, an de Peer wäert IKE net fäerdeg maachen soulaang d'Schlësselen ënnerschiddlech sinn. Wat d'Leit iwwerrascht ass déi zweet Halschent. Den aneren Tunnel iwwerhëlt den Traffic net vu sech aus, ausser Dir hutt gepréift datt hien en droe kann. Rotéiert an dëser Rei a bleift d'Ënnerbriechung bannent engem Tunnel.

Wat tatsächlech geschitt wann de Schlëssel sech ännert

ModifyVpnTunnelOptions schreift d'Optiounen fir een Tunnel ëm, dee vun senger externer IP-Adress identifizéiert gëtt. Den Tunnel gëtt ofgerappt an nei opgebaut, dofir verhandelen IKE an IPsec vun Null u mam neie Schlëssel. AWS seet datt d'Ënnerbriechung e puer Minutte ka daueren, wat laang genuch ass fir datt e Routingprotokoll et bemierkt. Den aneren Tunnel an der selwechter Verbindung gëtt vum Opruff net beréiert.

Et gëtt en zweeten Effekt deen et wäert ass ze wëssen ier Dir eppes schéckt. D'Ännerungsoperatioun hëlt de kompletten Set vun Tunneloptiounen, dofir gëtt en Feld dat Dir ewechloosst mat sengem Standardwäert zréckgeschriwwen. Wann Dir d'Liewensdauere vun der Phas 1 oder der Phas 2 oder d'Astellungen fir d'Erkennung vum doudege Peer ugepasst hutt, gitt déi aktuell Wäerter an der selwechter Ufro weider oder plangt se duerno zréckzesetzen.

Liest fir d'éischt déi aktuell Wäerter a ännert dann een Feld. Déi Rei ass déi ganz Disziplin vun dëser Aufgab.

Passt den AWS-Tunnel fir d'éischt dem richtege Peer un

D'Konsole etikettéiert Tunnelen no der Rei, an Ären Apparat benotzt dës Etikett net. Identifizéiert den Tunnel duerch seng extern IP-Adress a passt en un d'Peer-Sektioun um Client-Gateway un. Tunnel 1 an enger lokaler Konfiguratioun ass kee Beweis datt Dir den Tunnel ännert deen AWS Tunnel 1 nennt.

Fänkt bei der Verbindung selwer un, déi béid Tunnelen an de Schlëssel oplëscht deen all eenzelen aktuell huet:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

De Schlëssel dee zréckkënnt ass deen deen elo benotzt gëtt. Vergläicht en mat der Peer-Konfiguratioun ier Dir eppes ännert, well eng Onstëmmegkeet déi schonn existéiert erkläert en Tunnel deen ni stabil war.

Loosst fir d'éischt den aneren Tunnel den Traffic droen

Zwee Tunnelen an enger Verbindung beweise net datt Ären Apparat béid konfiguréiert huet, datt béid d'Präfixer annoncéieren déi Dir braucht, oder datt den Traffic tëscht hinnen zirkuléiert. Préift d'Verhandlung vum alternativen Tunnel, seng Routen an e richtege Applikatiounsfloss a béid Richtungen. Mat BGP ass eng lieweg Noperschaft en nëtzleche Beweis awer net datselwecht wéi d'Präfixer ze bestätegen. Mat statescher Routung bestätegt Dir wéi de Gateway de Wee wielt a wat en mécht wann dee preferéierte verschwënnt.

Wann den Alternativen d'Belaaschtung net droe kann, plangt d'Ënnerbriechung oder reparéiert den alternativen Tunnel ier Dir de Schlëssel beréiert. Eng Statusluucht op enger Konsolsäit ass kee Verspriechen vun onënnerbrachenem Service.

Rotéiert een Tunnel a verifizéiert dann mam richtege Traffic

Wann den alternative Wee bewisen ass, ass d'Rei kuerz. Notéiert d'Tunneladress, hire Peer an déi net-geheim Astellungen, a behält en Administratiounswee zum Gateway deen net vum Tunnel ofhänkt deen Dir am Gaang sidd ze briechen.

  1. Aktualiséiert de Client-Gateway-Peer fir déi gewielten extern Adress, oder preparéiert d'Ännerung esou datt se Sekonnen no dem API-Opruff a Kraaft trëtt.
  2. Schéckt den Ännerungsopruff mam neie Schlëssel plus den aktuellen Liewensdaueren an DPD-Wäerter.
  3. Waart bis IKE an IPsec zréckkommen a bestätegt dann d'Routen an d'erfuerlech Präfixer.
  4. Schéckt en representativen Applikatiounsfloss duerch deen Tunnel a kuckt a béid Richtungen.

Den Tunnel ass onbenotzbar soulaang d'Enner sech net eens sinn a soulaang AWS d'Ännerung uwent, dofir muss d'Peer-Aktualiséierung direkt duerno kommen an net no dem Mëttegiessen. Eréischt wann den geännerten Tunnel richtege Traffic dréit, sollt Dir d'Prozedur um aneren erëmhuelen.

Stoppt wann d'Erhuelung oder d'Routung no dem éischten Tunnel nach ongewëss ass. Zwee hallef funktionéierend Tunnelen si schlëmmer wéi een deen Dir wësst datt en funktionéiert.

Wann d'Erhuelung stockt, liest d'IKE-Säit

En Tunnel dee ënnen bleift nodeems béid Enner den neie Schlëssel hunn ass normalerweis eng Politik-Onstëmmegkeet déi d'Rotatioun opgedeckt huet an net geschaf huet. D'Proposen, d'Identitéit déi de Peer schéckt an d'Traffic-Selektoren mussen all mat der AWS-Säit iwwerenee stëmmen, an en Wäert deen en etabléierten Tunnel iwwerlieft huet ka wärend enger neier Verhandlung nach ëmmer verworf ginn. Liest de Verhandlungsstatus an d'Noriicht déi derbäi hänkt ier Dir de Schlëssel en zweet Kéier ännert.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Wann d'Ännerung missen zréckgezu ginn, restauréiert den ale Schlëssel net just well en fréier funktionéiert huet. Behandelt en kompromittéierte Schlëssel als kompromittéiert a reparéiert amplaz d'Verhandlung. Fäerdeg mat béiden Tunnelen verifizéiert an dem Geheimnis-Inventar aktualiséiert sou datt all Peer festhält wéi ee Wäert en huet, a behält d'AWS-Dokumentatioun iwwer Tunneloptiounen nieft dem Runbook.

Ähnlech Artikelen