AWS VPN PSK കറക്കൽ: ഏത് ടണൽ വീഴുന്നു, എപ്പോൾ

AWS VPN ടണലിന്റെ ഒരു പങ്കിട്ട കീ മാറ്റുന്നത് ഇരുവശവും യോജിക്കുന്നതുവരെ ആ ടണൽ വീഴ്ത്തുന്നു. ആദ്യം ബദൽ പാത തെളിയിക്കുക, പിന്നീട് ഓരോ ടണലായി കറക്കുക.

ഇരു അറ്റങ്ങളും പങ്കിട്ട കീയിൽ യോജിക്കാത്ത നിമിഷം ടണൽ വീഴുന്നു, ഇരുവശവും പുതിയ മൂല്യം വഹിക്കുന്നതുവരെ അത് താഴെ തന്നെ നിൽക്കുന്നു. ഈ ഭാഗം പ്രതീക്ഷിതമാണ്: AWS ഈ മാറ്റത്തെ തിരഞ്ഞെടുത്ത ടണലിന്റെ തടസ്സമായി കാണുന്നു, കീകൾ വ്യത്യസ്തമായിരിക്കുന്നിടത്തോളം പിയർ IKE പൂർത്തിയാക്കില്ല. ആളുകളെ അമ്പരപ്പിക്കുന്നത് രണ്ടാം പകുതിയാണ്. മറ്റേ ടണൽ അത് വഹിക്കാൻ കഴിയുമെന്ന് പരിശോധിച്ചിട്ടില്ലെങ്കിൽ സ്വയം ട്രാഫിക് ഏറ്റെടുക്കുന്നില്ല. ഈ ക്രമത്തിൽ കറക്കുക, തടസ്സം ഒരു ടണലിനുള്ളിൽ തന്നെ നിൽക്കും.

കീ മാറുമ്പോൾ യഥാർത്ഥത്തിൽ എന്ത് സംഭവിക്കുന്നു

ModifyVpnTunnelOptions ഒരു ടണലിന്റെ ഓപ്ഷനുകൾ വീണ്ടും എഴുതുന്നു, അത് അതിന്റെ പുറം IP വിലാസം കൊണ്ട് തിരിച്ചറിയപ്പെടുന്നു. ടണൽ പൊളിച്ച് വീണ്ടും നിർമ്മിക്കുന്നു, അതിനാൽ IKE ഉം IPsec ഉം പുതിയ കീയുമായി പൂജ്യത്തിൽ നിന്ന് ചർച്ച ചെയ്യുന്നു. തടസ്സം ഏതാനും മിനിറ്റ് നീണ്ടേക്കാം എന്ന് AWS പറയുന്നു, ഇത് ഒരു റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ ശ്രദ്ധിക്കാൻ മതിയാകും. അതേ കണക്ഷനിലെ മറ്റേ ടണലിനെ ഈ കോൾ ബാധിക്കുന്നില്ല.

എന്തെങ്കിലും അയയ്ക്കുന്നതിന് മുമ്പ് അറിയേണ്ട രണ്ടാമത്തെ പ്രഭാവമുണ്ട്. മാറ്റ പ്രവർത്തനം ടണൽ ഓപ്ഷനുകളുടെ മുഴുവൻ ഗണവും എടുക്കുന്നു, അതിനാൽ നിങ്ങൾ ഒഴിവാക്കുന്ന ഫീൽഡ് അതിന്റെ സ്വതവേയുള്ള മൂല്യത്തോടെ തിരികെ എഴുതപ്പെടുന്നു. ഘട്ടം 1 അല്ലെങ്കിൽ ഘട്ടം 2 ന്റെ ആയുസ്സോ ഡെഡ് പിയർ കണ്ടെത്തൽ ക്രമീകരണങ്ങളോ ട്യൂൺ ചെയ്തിട്ടുണ്ടെങ്കിൽ, നിലവിലെ മൂല്യങ്ങൾ അതേ അഭ്യർത്ഥനയിൽ കൈമാറുക അല്ലെങ്കിൽ പിന്നീട് പുനഃസ്ഥാപിക്കാൻ ആസൂത്രണം ചെയ്യുക.

ആദ്യം നിലവിലെ മൂല്യങ്ങൾ വായിക്കുക, പിന്നീട് ഒരു ഫീൽഡ് മാറ്റുക. ആ ക്രമമാണ് ഈ ജോലിയുടെ മുഴുവൻ അച്ചടക്കം.

ആദ്യം AWS ടണലിനെ ശരിയായ പിയറുമായി ചേർക്കുക

കൺസോൾ ടണലുകളെ ക്രമം അനുസരിച്ച് ലേബൽ ചെയ്യുന്നു, നിങ്ങളുടെ ഉപകരണം ആ ലേബൽ ഉപയോഗിക്കുന്നില്ല. പുറം IP വിലാസം കൊണ്ട് ടണൽ തിരിച്ചറിഞ്ഞ് കസ്റ്റമർ ഗേറ്റ്‌വേയിലെ പിയർ വിഭാഗവുമായി ചേർക്കുക. ലോക്കൽ കോൺഫിഗറേഷനിലെ ടണൽ 1, AWS ടണൽ 1 എന്ന് വിളിക്കുന്ന ടണൽ നിങ്ങൾ എഡിറ്റ് ചെയ്യുന്നു എന്നതിന് തെളിവല്ല.

കണക്ഷനിൽ നിന്ന് തന്നെ തുടങ്ങുക, അത് രണ്ട് ടണലുകളും ഓരോന്നും ഇപ്പോൾ കൈവശം വയ്ക്കുന്ന കീയും പട്ടികപ്പെടുത്തുന്നു:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

തിരികെ വരുന്ന കീയാണ് ഇപ്പോൾ ഉപയോഗിക്കുന്നത്. എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് അത് പിയർ കോൺഫിഗറേഷനുമായി താരതമ്യം ചെയ്യുക, കാരണം നിലവിലുള്ള പൊരുത്തക്കേട് ഒരിക്കലും സ്ഥിരതയുള്ളതല്ലാത്ത ഒരു ടണലിനെ വിശദീകരിക്കുന്നു.

ആദ്യം മറ്റേ ടണൽ ട്രാഫിക് വഹിക്കാൻ അനുവദിക്കുക

ഒരു കണക്ഷനിലെ രണ്ട് ടണലുകൾ നിങ്ങളുടെ ഉപകരണം രണ്ടും കോൺഫിഗർ ചെയ്തു എന്നോ, രണ്ടും നിങ്ങൾക്ക് വേണ്ട പ്രിഫിക്സുകൾ പ്രഖ്യാപിക്കുന്നു എന്നോ, അവയ്ക്കിടയിൽ ട്രാഫിക് നീങ്ങുന്നു എന്നോ തെളിയിക്കുന്നില്ല. ബദൽ ടണലിന്റെ ചർച്ചകൾ, അതിന്റെ റൂട്ടുകൾ, ഇരു ദിശകളിലും യഥാർത്ഥ ആപ്ലിക്കേഷൻ പ്രവാഹം എന്നിവ പരിശോധിക്കുക. BGP യിൽ, സജീവമായ അയൽബന്ധം ഉപയോഗപ്രദമായ തെളിവാണ്, പക്ഷേ പ്രിഫിക്സുകൾ സ്ഥിരീകരിക്കുന്നതിന് തുല്യമല്ല. സ്റ്റാറ്റിക് റൂട്ടിംഗിൽ, ഗേറ്റ്‌വേ എങ്ങനെ പാത തിരഞ്ഞെടുക്കുന്നു, മുൻഗണനാ പാത അപ്രത്യക്ഷമാകുമ്പോൾ എന്ത് ചെയ്യുന്നു എന്നിവ സ്ഥിരീകരിക്കുക.

ബദലിന് ജോലിഭാരം വഹിക്കാൻ കഴിയില്ലെങ്കിൽ, കീ തൊടുന്നതിന് മുമ്പ് തടസ്സം ഷെഡ്യൂൾ ചെയ്യുക അല്ലെങ്കിൽ ബദൽ ടണൽ നന്നാക്കുക. കൺസോൾ പേജിലെ സ്റ്റാറ്റസ് ലൈറ്റ് തുടർച്ചയായ സേവനത്തിന്റെ വാഗ്ദാനമല്ല.

ഒരു ടണൽ കറക്കുക, പിന്നീട് യഥാർത്ഥ ട്രാഫിക് ഉപയോഗിച്ച് പരിശോധിക്കുക

ബദൽ പാത തെളിഞ്ഞാൽ ക്രമം ചെറുതാണ്. ടണലിന്റെ വിലാസം, അതിന്റെ പിയർ, രഹസ്യമല്ലാത്ത ക്രമീകരണങ്ങൾ എന്നിവ രേഖപ്പെടുത്തുക, നിങ്ങൾ തകർക്കാൻ പോകുന്ന ടണലിനെ ആശ്രയിക്കാത്ത ഒരു മാനേജ്മെന്റ് പാത ഗേറ്റ്‌വേയിലേക്ക് സൂക്ഷിക്കുക.

  1. തിരഞ്ഞെടുത്ത പുറം വിലാസത്തിനായി കസ്റ്റമർ ഗേറ്റ്‌വേ പിയർ അപ്ഡേറ്റ് ചെയ്യുക, അല്ലെങ്കിൽ API കോളിന് ശേഷം സെക്കൻഡുകൾക്കുള്ളിൽ പ്രാബല്യത്തിൽ വരാൻ മാറ്റം തയ്യാറാക്കുക.
  2. പുതിയ കീയോടൊപ്പം നിലവിലെ ആയുസ്സുകളും DPD മൂല്യങ്ങളും ചേർത്ത് മാറ്റ കോൾ അയയ്ക്കുക.
  3. IKE ഉം IPsec ഉം തിരികെ വരാൻ കാത്തിരിക്കുക, പിന്നീട് റൂട്ടുകളും ആവശ്യമായ പ്രിഫിക്സുകളും സ്ഥിരീകരിക്കുക.
  4. ആ ടണലിലൂടെ പ്രതിനിധീകരണ ആപ്ലിക്കേഷൻ പ്രവാഹം അയച്ച് ഇരു ദിശകളും നിരീക്ഷിക്കുക.

അറ്റങ്ങൾ യോജിക്കാത്തിടത്തോളവും AWS മാറ്റം പ്രയോഗിക്കുന്നിടത്തോളവും ടണൽ ഉപയോഗയോഗ്യമല്ല, അതിനാൽ പിയർ അപ്ഡേറ്റ് ഉച്ചയ്ക്ക് ശേഷമല്ല, ഉടൻ തുടരണം. മാറ്റിയ ടണൽ യഥാർത്ഥ ട്രാഫിക് വഹിച്ചാൽ മാത്രം മറ്റേതിൽ നടപടിക്രമം ആവർത്തിക്കുക.

ആദ്യ ടണലിന് ശേഷം വീണ്ടെടുക്കലോ റൂട്ടിംഗോ ഇപ്പോഴും അനിശ്ചിതമാണെങ്കിൽ നിർത്തുക. പകുതി പ്രവർത്തിക്കുന്ന രണ്ട് ടണലുകൾ പ്രവർത്തിക്കുന്നു എന്ന് അറിയാവുന്ന ഒന്നിനേക്കാൾ മോശമാണ്.

വീണ്ടെടുക്കൽ കുരുങ്ങുമ്പോൾ IKE വശം വായിക്കുക

ഇരു അറ്റങ്ങളും പുതിയ കീ കൈവശം വച്ചതിന് ശേഷവും താഴെ തുടരുന്ന ടണൽ സാധാരണയായി കറക്കൽ വെളിപ്പെടുത്തിയ, സൃഷ്ടിക്കാത്ത ഒരു നയ പൊരുത്തക്കേടാണ്. നിർദ്ദേശങ്ങൾ, പിയർ അയയ്ക്കുന്ന ഐഡന്റിറ്റി, ട്രാഫിക് സെലക്ടറുകൾ എന്നിവയെല്ലാം AWS വശവുമായി യോജിക്കണം, സ്ഥാപിത ടണലിൽ അതിജീവിച്ച ഒരു മൂല്യം പുതിയ ചർച്ചയിൽ ഇപ്പോഴും നിരസിക്കപ്പെട്ടേക്കാം. രണ്ടാം തവണ കീ മാറ്റുന്നതിന് മുമ്പ് ചർച്ചയുടെ നിലയും അതിൽ ഘടിപ്പിച്ച സന്ദേശവും വായിക്കുക.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

മാറ്റം പിൻവലിക്കേണ്ടതുണ്ടെങ്കിൽ, മുമ്പ് പ്രവർത്തിച്ചിരുന്നു എന്ന കാരണത്താൽ മാത്രം പഴയ കീ പുനഃസ്ഥാപിക്കരുത്. വിട്ടുപോയ കീയെ വിട്ടുപോയതായി കണക്കാക്കി പകരം ചർച്ച നന്നാക്കുക. രണ്ട് ടണലുകളും പരിശോധിച്ച്, ഓരോ പിയറും ഏത് മൂല്യം കൈവശം വയ്ക്കുന്നു എന്ന് രേഖപ്പെടുത്താൻ രഹസ്യങ്ങളുടെ പട്ടിക അപ്ഡേറ്റ് ചെയ്ത് അവസാനിപ്പിക്കുക, AWS ടണൽ ഓപ്ഷൻ ഡോക്യുമെന്റേഷൻ റൺബുക്കിന് അടുത്ത് സൂക്ഷിക്കുക.

അനുബന്ധ ലേഖനങ്ങൾ