Како да го натерате AWS да започне Site-to-Site VPN тунел
Дејството за стартување и дејството за DPD истек имаат различни прашања. Поставете го она што го тера AWS да иницира, потоа проверете ја адресата на партнерот и рутата на апликацијата.
Стандардно, AWS Site-to-Site VPN чека customer gateway да ги започне преговорите. Тоа стандардно е поставка, не закон, и поставката се вика Startup action. Пред да посегнете по неа, разделете две прашања што постојано се мешаат: кој го поставува тунелот и дали пакетите што ве интересираат имаат рута низ него. Само првото живее во опциите на тунелот.
Разделете го дејството за стартување од дејството за DPD истек
Две опции по тунел управуваат со два различни настани, а поставувањето на едната не кажува ништо за другата.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ако AWS треба да подигне нов или изменет тунел, изберете start. Ако AWS треба и повторно да ги започне преговорите по DPD истек, конфигурирајте restart за тој настан одделно. Ниту една од опциите не е политика за повторен обид на апликацијата, и ниту една не е интервал за замена на клучеви: DPD проверува дали партнерот е жив, додека замената на клучеви ги заменува security associations на активен тунел.
Апликација што истекува додека тунелот сè уште известува up има проблем со патеката на податоци. Скртувањето на DPD тајмерот нема да го поправи и може да додаде врева што подоцна ќе треба да ја објасните.
Проверете дали AWS има каде да ги испрати преговорите
Иницирањето од страната на AWS работи само со IKEv2, а на AWS ѝ треба јавната адреса на customer gateway за да знае каде да го испрати предлогот. Најболен е случајот со ресурс customer gateway автентифициран со сертификат создаден без адреса: документацијата на AWS опишува создавање нов ресурс customer gateway со адресата и потоа менување на VPN врската да покажува кон него.
Сертификатот докажува кој е партнерот. Тој не ѝ кажува на AWS каде е партнерот, а тоа се два различни барања. Затоа решението е нов ресурс customer gateway, а не нов сертификат. Замената на сертификатот го остава AWS со истата исчезната дестинација.
Ако customer gateway стои зад NAT, на AWS ѝ треба и конфигуриран responder identity, IDr, за идентитетот на партнерот да одговара на она што го очекува уредот. Потврдете ја таа вредност и патеката низ огнениот ѕид што пропушта IKE сообраќај пред да ја обвините опцијата што штотуку ја сменивте. Изборот на start не може да го натера недостапниот или погрешно идентификуван партнер да прифати предлог.
Применете ја промената на еден тунел и очекувајте прекин
VPN врската има два тунели со независни опции, затоа потврдете по надворешната адреса кој го уредувате. AWS дозволува менување на еден тунел одеднаш, а поврзаноста низ избраниот тунел може да биде прекината неколку минути.
- Изберете ја врската Site-to-Site VPN и отворете Modify VPN tunnel options.
- Изберете го тунелот по надворешната IP адреса и потврдете ја неговата IKE верзија и ресурсот customer gateway.
- Поставете ги дејствата за стартување и DPD што навистина ги сакате, потоа зачувајте во период што го контролирате.
- Потврдете дека изменетиот тунел се воспоставува и проверете го другиот тунел и рутирањето пред следната промена.
Едно однесување заслужува внимание пред одржувањето. Кога иницирањето од AWS е вклучено, нема истек: AWS продолжува да обидува додека тунелот не се крене, и повторно иницира кога customer gateway ќе испрати порака delete-SA. Ако намерно го исклучите партнерот, AWS ќе продолжи да тропа, а записите на партнерот тоа ќе го покажат.
Проверете ја патеката на апликацијата, не само состојбата на тунелот
Тунел што известува up не е исто што и работно барање. Функцијата Lambda поврзана со VPC сè уште ѝ треба subnet рута до префиксот на клиентот, правила за security group и network ACL што го дозволуваат сообраќајот, резолуција на имиња што ја враќа точната адреса и повратна патека на страната на клиентот.
Тестирајте еднаш со вистинско барање од контекстот на апликацијата, а потоа читајте flow logs ако не успее. Keepalive сообраќајот е легитимна опција кога иницирањето од AWS е исклучено и неактивен тунел бара пакети за да остане, но тоа треба да биде одлука за надзор што можете да ја именувате, а не необјаснета ping јамка завртена на функција.
Прво изберете кој го поставува тунелот, потоа дијагностицирајте го остатокот од дефектот на неговиот сопствен слој. Документацијата на AWS за иницирањето ги покрива барањата за адреса, идентитет и повторен обид подетално од советите во конзолата.