Граници на Cloud VPN што не може да се наместат: IKE животен век и NAT на peer

Дајте му на далечинскиот уред животен век од 24 часа за фаза 1 и тунелот Cloud VPN останува долу, иако сè на страната на Google е правилно конфигурирано. Peer-от предлага вредност што одговорникот нема да ја прифати, па преговорите или целосно пропаѓаат или бесконечно се рестартираат. Cloud VPN ја ограничува фаза 1 на 36,000 секунди, десет часа, и таа граница не е поставка што можете да ја покачите. Промената и припаѓа на далечинскиот уред.

Peer-от прашува, одговорникот одлучува

IKE е вежба за совпаѓање меѓу две множества предлози. Тунелот се создава само таму каде множествата се преклопуваат во границите што одговорникот ги прифаќа, и затоа животен век вон опсегот не создава никаков делумен тунел. Вообичаената грешка е конфигурацијата на peer-от да се третира како список на желби, а не како предлог. Празниот пресек го остава тунелот долу, колку и да се точни рутирањето и селекторите.

Прочитајте ја сопствената состојба на тунелот пред да отворите случај, бидејќи деталниот статус обично ја именува фазата што пропаднала:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Споредете го она што се враќа со поддржаното множество за вашиот тип на порта и верзија на IKE, и запишете ги двата селектори на сообраќај додека сте таму. Несовпаѓањето на селектор дава исти симптом на тунел долу како несовпаѓање на алгоритам, и за разлика од алгоритмот, ова е ваше да го поправите.

36,000 секунди е горната граница

Фаза 1 запира на 36,000 секунди. Уред поставен на 86,400 бара нешто со што одговорникот никогаш нема да се согласи, а повторувањето не му го менува мислењето. Вратете го далечинскиот предлог во опсегот и истата конфигурација се воспоставува; асиметријата е целата лекција, бидејќи можете да ја намалите својата вредност, а вредноста на Google не можете да ја покачите.

Запишете ја избраната вредност во дизајнерските белешки. Инаку следниот инженер го повторува експериментот од 24 часа и удира во истиот ѕид.

Поддржаното множество се објавува по тип на порта и верзија на IKE во прегледот на Cloud VPN, па читајте го делот за вашата топологија наместо општ водич за IKE.

Тунел што паѓа по распоред

Фаза 2 се однесува поинаку: кога двата краја не се согласуваат, обновувањето клучеви го следи пократкиот интервал. Peer што несовпаѓањето го смета за фатално наместо тоа го спушта тунелот, па едно несовпаѓање може да изгледа како две неповрзани дефекти. Гледајте го ритамот на обновување клучеви, не само првото поврзување. Тунел што ќе се крене и потоа паѓа во редовен такт е почесто несовпаѓање на животниот век отколку дефект во рутирањето.

Поврзете ги тие временски ознаки на паѓање со сопствените логови на peer-от пред да промените нешто, бидејќи промена на селектор или рута може да го имитира истиот ритам. Ако тактот се совпаѓа со тајмерот на фаза 2, причината е најдена без допирање на предлог.

Множествата доаѓаат од типот на порта

Множествата за шифрирање и интегритет не се профил по тунел што го уредувате како што дозволува strongSwan. Ги избирате по тип на порта и верзија на IKE, а барањето профил што не постои троши едно попладне.

Стар уред што не нуди ништо во рамки на поддржаното множество остава два чесни патишта: заменете го уредот или завршете на софтверска порта што ја контролирате и од таму рутирајте во VPC. Сè друго е заобиколно решение што паѓа на следниот преглед.

Една надворешна адреса по уред

Надворешната адреса на peer-от мора да се пресликува еден-на-еден на неговата внатрешна адреса. Преоптоварен PAT базен не може да работи, бидејќи неколку домаќини зад една јавна адреса не му даваат на одговорникот никаков начин да ги раздели. Каде неколку домаќини мора да делат адреса, тунелот мора да заврши некаде што може да ги разликува.

Држете ја и таа надворешна адреса стабилна. Преместете го уредот зад друг NAT и врската се кине, иако секој предлог сè уште се совпаѓа. Вреди да се запише кои вредности се на Google, а кои ваши: животните векови, множествата и NAT еден-на-еден се фиксни на нивната страна, додека предлозите, селекторите, рутирањето и BGP приоритетите се ваши.