AWS-ийг Site-to-Site VPN туннель эхлүүлэхэд хэрхэн хүргэх вэ
Эхлүүлэх үйлдэл болон DPD хугацаа дуусах үйлдэл өөр асуултад хариулна. AWS-ийг эхлүүлдэг үйлдлийг тохируулж, дараа нь хосын хаяг болон апп-ын замыг шалгана уу.
Анхдагчаар AWS Site-to-Site VPN нь customer gateway хэлэлцээрийг эхлүүлэхийг хүлээдэг. Тэр анхдагч нь хууль биш, тохиргоо бөгөөд тохиргооны нэр Startup action. Түүнд хүрэхээс өмнө байнга холилддог хоёр асуултыг салгаарай: туннелийг хэн босгох, мөн таны сонирхож буй пакетуудад түүгээр гарах зам байгаа эсэх. Зөвхөн эхнийх нь туннелийн тохиргоонд байдаг.
Эхлүүлэх үйлдлийг DPD хугацаа дуусах үйлдлээс салга
Туннель бүрт хоёр тохиргоо хоёр өөр үйл явдлыг удирддаг бөгөөд нэгийг тохируулах нь нөгөөгийн тухай юу ч хэлэхгүй.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS шинэ эсвэл өөрчилсөн туннель босгох бол, сонгоно уу start. AWS DPD хугацаа дууссаны дараа хэлэлцээрийг мөн дахин эхлүүлэх бол тухайн үйл явдлын хувьд тусад нь restart тохируулна уу. Аль ч тохиргоо нь апп-ын дахин оролдлогын бодлого биш, аль нь ч түлхүүр солих интервал биш: DPD хос амьд эсэхийг шалгадаг бол түлхүүр солилт ажиллаж буй туннель дээрх security associations-ийг сольдог.
Туннель хараахан up гэж мэдээлж байтал хугацаа дуусаж буй апп өгөгдлийн замд асуудалтай байна. DPD таймерыг богиносгох нь үүнийг засахгүй бөгөөд дараа нь тайлбарлах шаардлагатай үймээн нэмж болно.
AWS-д хэлэлцээрийг илгээх газар байгаа эсэхийг шалга
AWS талаас эхлүүлэх нь зөвхөн IKEv2-оор боломжтой бөгөөд саналыг хаашаа илгээхээ мэдэхийн тулд AWS-д customer gateway-ийн нийтийн хаяг хэрэгтэй. Хамгийн өвдөлттэй тохиолдол бол хаяггүйгээр үүсгэсэн, сертификатаар баталгаажсан customer gateway нөөц юм: AWS-ийн баримт бичиг хаягтай шинэ customer gateway нөөц үүсгээд дараа нь VPN холболтыг түүн рүү чиглүүлэхийг тайлбарладаг.
Сертификат нь хос хэн болохыг нотолно. Тэр нь AWS-д хос хаана байгааг хэлэхгүй бөгөөд эдгээр нь хоёр өөр шаардлага юм. Тиймээс шийдэл нь шинэ сертификат биш, шинэ customer gateway нөөц юм. Сертификатыг солих нь AWS-ийг мөн адил алга болсон очих газартай үлдээдэг.
Хэрэв customer gateway нь NAT-ийн ард байвал, AWS-д мөн тохируулсан responder identity хэрэгтэй, IDr, хосын таних тэмдэг төхөөрөмжийн хүлээж буйтай тохирохын тулд. Саяхан өөрчилсөн тохиргоог буруутгахаас өмнө тэр утга болон IKE урсгалыг нэвтрүүлэх галт ханын замыг баталгаажуулна уу. start сонгох нь хүрэх боломжгүй эсвэл буруу танигдсан хосыг саналыг хүлээн авахад хүргэж чадахгүй.
Өөрчлөлтийг нэг туннельд хэрэглээд тасалдал хүлээ
VPN холболт нь бие даасан тохиргоотой хоёр туннельтай тул гадаад хаягаар аль нь засаж байгаагаа баталгаажуулна уу. AWS нэг удаад зөвхөн нэг туннель өөрчлөхийг зөвшөөрдөг бөгөөд сонгосон туннелээр холбогдол хэдэн минутын турш тасарч болно.
- Site-to-Site VPN холболтыг сонгоод Modify VPN tunnel options-ыг нээнэ үү.
- Туннелийг гадаад IP хаягаар сонгоод түүний IKE хувилбар болон customer gateway нөөцийг баталгаажуулна уу.
- Үнэхээр хүсэж буй эхлүүлэх болон DPD үйлдлүүдийг тохируулаад, өөрийн хянадаг хугацаанд хадгална уу.
- Өөрчилсөн туннель босч байгааг баталгаажуулж, дараагийн өөрчлөлтийн өмнө нөгөө туннель болон чиглүүлэлтийг шалгана уу.
Засварын өмнө нэг зан байдал анхаарал татахуйц. AWS эхлүүлэлт асаалттай үед хугацаа дуусах гэж байхгүй: туннель босох хүртэл AWS оролдсоор байдаг бөгөөд customer gateway delete-SA мессеж илгээхэд дахин эхэлдэг. Хэрэв хосыг санаатайгаар унтраавал AWS тогшоод байх бөгөөд хосын лог үүнийг харуулна.
Зөвхөн туннелийн төлөв биш, апп-ын замыг шалга
up гэж мэдээлж буй туннель нь ажиллаж буй хүсэлттэй ижил биш. VPC-д холбогдсон Lambda функцэд одоо ч харилцагчийн префикс рүү subnet зам, урсгалыг зөвшөөрөх security group болон network ACL дүрэм, зөв хаяг буцаадаг нэрийн шийдэл, мөн харилцагчийн талд буцах замхэрэгтэй.
Апп-ын контекстээс бодит хүсэлтээр нэг удаа туршаад, бүтэлгүй бол flow logs уншина уу. AWS эхлүүлэлт унтарсан бөгөөд сул туннельд зогсох пакет хэрэгтэй үед keepalive урсгал хууль ёсны сонголт, гэхдээ энэ нь таны нэрлэж чадах хяналтын шийдвэр байх ёстой, функц дээр боолтолсон тайлбаргүй ping давталт биш.
Эхлээд туннелийг хэн босгохыг сонгоод, дараа нь үлдсэн алдааг өөрийн давхаргад нь оношилно уу. AWS-ийн эхлүүлэлтийн тухай баримт бичиг нь хаяг, таних тэмдэг, дахин оролдлогын шаардлагыг консолын зөвлөмжөөс илүү дэлгэрэнгүй авч үздэг.