Kaip priversti AWS pradėti Site-to-Site VPN tunelį
Paleidimo veiksmas ir DPD skirtojo laiko veiksmas atsako į skirtingus klausimus. Nustatykite tą, kuris priverčia AWS inicijuoti, tada patikrinkite partnerio adresą ir programos maršrutą.
Pagal numatytuosius nustatymus AWS Site-to-Site VPN laukia, kol customer gateway pradės derybas. Tas numatytasis nustatymas yra parametras, o ne įstatymas, ir parametras vadinasi Startup action. Prieš jį liesdami atskirkite du klausimus, kurie nuolat suplakami: kas pastato tunelį ir ar paketai, kurie jums rūpi, turi maršrutą per jį. Tik pirmasis yra tunelio parinktyse.
Atskirkite paleidimo veiksmą nuo DPD skirtojo laiko veiksmo
Du parametrai kiekvienam tuneliui valdo du skirtingus įvykius, o vieno nustatymas nieko nesako apie kitą.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Jei AWS turi pastatyti naują ar pakeistą tunelį, pasirinkite start. Jei AWS po DPD skirtojo laiko taip pat turi iš naujo pradėti derybas, atskirai sukonfigūruokite restart tam įvykiui. Nė vienas parametras nėra programos kartojimo politika ir nė vienas nėra raktų keitimo intervalas: DPD tikrina, ar partneris gyvas, o raktų keitimas pakeičia security associations aktyviame tunelyje.
Programa, kuriai baigiasi skirtasis laikas, kol tunelis dar rodo up, turi duomenų kelio problemą. DPD laikmačio trumpinimas to neištaisys ir gali pridėti sumaišties, kurią vėliau teks paaiškinti.
Patikrinkite, ar AWS turi kur nusiųsti derybas
Inicijavimas iš AWS pusės veikia tik su IKEv2, o AWS reikia viešojo customer gateway adreso, kad žinotų, kur siųsti pasiūlymą. Skausmingiausias atvejis yra be adreso sukurtas sertifikatu autentifikuotas customer gateway išteklius: AWS dokumentacija aprašo naujo customer gateway ištekliaus su adresu kūrimą ir po to VPN ryšio nukreipimą į jį.
Sertifikatas įrodo, kas yra partneris. Jis nepasako AWS, kur partneris yra, ir tai du skirtingi reikalavimai. Todėl sprendimas yra naujas customer gateway išteklius, o ne naujas sertifikatas. Pakeitus sertifikatą AWS lieka su ta pačia trūkstama paskirties vieta.
Jei customer gateway yra už NAT, AWS taip pat reikia sukonfigūruoto responder identity, IDr, kad partnerio tapatybė atitiktų tai, ko tikisi įrenginys. Patvirtinkite tą reikšmę ir ugniasienės kelią, kuris praleidžia IKE srautą, prieš kaltindami ką tik pakeistą parametrą. start pasirinkimas negali priversti nepasiekiamo ar neteisingai atpažinto partnerio priimti pasiūlymą.
Taikykite pakeitimą vienam tuneliui ir tikėkitės pertraukimo
VPN ryšys turi du tunelius su nepriklausomais parametrais, todėl pagal išorinį adresą patvirtinkite, kurį redaguojate. AWS leidžia keisti vieną tunelį vienu metu, o ryšys per pasirinktą tunelį gali nutrūkti kelioms minutėms.
- Pasirinkite Site-to-Site VPN ryšį ir atidarykite Modify VPN tunnel options.
- Pasirinkite tunelį pagal išorinį IP adresą ir patvirtinkite jo IKE versiją bei customer gateway išteklių.
- Nustatykite paleidimo ir DPD veiksmus, kurių tikrai norite, tada išsaugokite jūsų kontroliuojamu laiku.
- Patvirtinkite, kad pakeistas tunelis susikuria, ir prieš kitą pakeitimą patikrinkite kitą tunelį bei maršrutizavimą.
Vienas elgesys vertas dėmesio prieš techninę priežiūrą. Įjungus AWS inicijavimą, skirtojo laiko nėra: AWS bando tol, kol tunelis pakyla, ir iš naujo pradeda, kai customer gateway atsiunčia delete-SA pranešimą. Jei tyčia išjungsite partnerį, AWS toliau belsis, ir partnerio žurnalai tai parodys.
Tikrinkite programos kelią, o ne vien tunelio būseną
Tunelis, kuris rodo up, nėra tas pats kaip veikianti užklausa. Prie VPC prijungtai Lambda funkcijai vis dar reikia subnet maršruto į kliento prefiksą, srautą leidžiančių security group ir network ACL taisyklių, teisingą adresą grąžinančio vardų sprendimo ir grįžimo kelio kliento pusėje.
Išbandykite kartą su tikra užklausa iš programos konteksto, o jei nepavyks, skaitykite flow logs. Keepalive srautas yra teisėta parinktis, kai AWS inicijavimas išjungtas ir neaktyviam tuneliui reikia paketų, kad išsilaikytų, bet tai turėtų būti stebėjimo sprendimas, kurį galite įvardyti, o ne nepaaiškinama ping kilpa, pritvirtinta prie funkcijos.
Pirmiausia pasirinkite, kas stato tunelį, tada diagnozuokite likusį gedimą jo pačiame sluoksnyje. AWS dokumentacija apie inicijavimą išsamiau aprašo adreso, tapatybės ir kartojimo reikalavimus nei konsolės užuominos.