Kā panākt, lai AWS sāk Site-to-Site VPN tuneli
Sākšanas darbība un DPD taimauta darbība atbild uz dažādiem jautājumiem. Iestatiet to, kas liek AWS uzsākt, pēc tam pārbaudiet partnera adresi un lietotnes maršrutu.
Pēc noklusējuma AWS Site-to-Site VPN gaida, kad customer gateway sāks sarunas. Šis noklusējums ir iestatījums, nevis likums, un iestatījums saucas Startup action. Pirms ķerties pie tā, atdaliet divus jautājumus, kas pastāvīgi tiek sajaukti: kas uzceļ tuneli un vai paketiem, kas jums svarīgi, ir maršruts caur to. Tikai pirmais atrodas tuneļa opcijās.
Atdaliet sākšanas darbību no DPD taimauta darbības
Divi iestatījumi katram tunelim pārvalda divus dažādus notikumus, un viena iestatīšana neko nepasaka par otru.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ja AWS jāuzceļ jauns vai mainīts tunelis, izvēlieties start. Ja AWS pēc DPD taimauta jāatsāk arī sarunas, atsevišķi konfigurējiet restart šim notikumam. Neviens no abiem nav lietotnes atkārtošanas politika, un neviens nav atslēgu maiņas intervāls: DPD pārbauda, vai partneris ir dzīvs, bet atslēgu maiņa aizstāj security associations aktīvā tunelī.
Lietotne, kurai iestājas taimauts, kamēr tunelis vēl ziņo up, saskaras ar datu ceļa problēmu. DPD taimera saīsināšana to nelabos un var pievienot satraukumu, kas vēlāk jāizskaidro.
Pārbaudiet, vai AWS ir kur nosūtīt sarunas
Uzsākšana no AWS puses darbojas tikai ar IKEv2, un AWS vajag customer gateway publisko adresi, lai zinātu, kur sūtīt priekšlikumu. Sāpīgākais gadījums ir bez adreses izveidots ar sertifikātu autentificēts customer gateway resurss: AWS dokumentācija apraksta jauna customer gateway resursa izveidi ar adresi un pēc tam VPN savienojuma pārvirzīšanu uz to.
Sertifikāts pierāda, kas ir partneris. Tas nepauž AWS, kur partneris atrodas, un tās ir divas atšķirīgas prasības. Tāpēc risinājums ir jauns customer gateway resurss, nevis jauns sertifikāts. Sertifikāta nomaiņa AWS atstāj ar to pašu trūkstošo galamērķi.
Ja customer gateway atrodas aiz NAT, AWS vajag arī konfigurētu responder identity, IDr, lai partnera identitāte atbilstu tam, ko ierīce sagaida. Apstipriniet šo vērtību un ugunsmūra ceļu, kas pielaiž IKE datplūsmu, pirms vainot tikko mainīto opciju. start izvēle nevar likt nesasniedzamam vai nepareizi identificētam partnerim pieņemt priekšlikumu.
Piemērojiet izmaiņas vienam tunelim un gaidiet pārtraukumu
VPN savienojumam ir divi tuneļi ar neatkarīgām opcijām, tāpēc pēc ārējās adreses pārbaudiet, kuru rediģējat. AWS ļauj mainīt vienu tuneli vienlaikus, un savienojamība caur izvēlēto tuneli var tikt pārtraukta uz vairākām minūtēm.
- Atlasiet Site-to-Site VPN savienojumu un atveriet Modify VPN tunnel options.
- Atlasiet tuneli pēc ārējās IP adreses un apstipriniet tā IKE versiju un customer gateway resursu.
- Iestatiet sākšanas un DPD darbības, kuras patiešām vēlaties, un pēc tam saglabājiet sev kontrolētā laika logā.
- Apstipriniet, ka mainītais tunelis izveidojas, un pirms nākamās izmaiņas pārbaudiet otru tuneli un maršrutēšanu.
Viena uzvedība ir pelnījusi uzmanību pirms apkopes. Kad AWS uzsākšana ir ieslēgta, taimauta nav: AWS turpina mēģināt, līdz tunelis paceļas, un sāk no jauna, kad customer gateway nosūta delete-SA ziņojumu. Ja partneri apzināti izslēgsiet, AWS turpinās klauvēt, un partnera žurnāli to parādīs.
Pārbaudiet lietotnes ceļu, ne tikai tuneļa stāvokli
Tunelis, kas ziņo up, nav tas pats, kas strādājošs pieprasījums. VPC piesaistītai Lambda funkcijai joprojām vajag subnet maršrutu uz klienta prefiksu, datplūsmu atļaujošus security group un network ACL noteikumus, pareizo adresi atgriežošu vārdu izšķiršanu un atgriešanās ceļu klienta pusē.
Pārbaudiet vienreiz ar reālu pieprasījumu no lietotnes konteksta, un, ja tas neizdodas, lasiet flow logs. Keepalive datplūsma ir likumīga iespēja, kad AWS uzsākšana ir izslēgta un dīkstāvē esošam tunelim vajag paketes, lai noturētos, bet tam jābūt nosaucamam uzraudzības lēmumam, nevis funkcijai pieskrūvētai neizskaidrotai ping cilpai.
Vispirms izvēlieties, kas uzceļ tuneli, pēc tam diagnosticējiet atlikušo kļūmi tās pašas slānī. AWS dokumentācija par uzsākšanu detalizētāk aptver adreses, identitātes un atkārtošanas prasības nekā konsoles mājieni.