Тохируулж болохгүй Cloud VPN хязгаарууд: IKE-ийн хугацаа ба peer NAT

Алсын төхөөрөмжид 24 цагийн 1-р фазын хугацаа өгвөл Google-ийн талд бүх зүйл зөв тохируулагдсан байсан ч Cloud VPN туннель доошоо хэвээр байна. Peer нь хариулагчийн хүлээж авахгүй утгыг санал болгож байгаа тул хэлэлцээр бүрэн бүтэлгүйтэх эсвэл эцэс төгсгөлгүй дахин эхэлнэ. Cloud VPN 1-р фазыг 36,000 секунд, буюу араван цагаар хязгаарладаг бөгөөд энэ дээд хязгаар нь өсгөж болох тохиргоо биш. Өөрчлөлт нь алсын төхөөрөмжид хамаарна.

Peer асууна, хариулагч шийднэ

IKE нь хоёр саналын багцыг тааруулах дасгал юм. Туннель нь хариулагчийн хүлээн зөвшөөрөх хязгаарын дотор багцууд давхцах газарт л үүсдэг, тиймээс хязгаараас гадуурх хугацаа хэсэгчилсэн туннель ч үүсгэхгүй. Нийтлэг алдаа нь peer-ийн тохиргоог санал биш, хүслийн жагсаалт гэж үзэх явдал юм. Хоосон огтлолцол туннелийг доошоо үлдээдэг, маршрутлалт болон селекторууд хэчнээн зөв байсан ч.

Кейс нээхээс өмнө туннелийн өөрийн төлөвийг уншина уу, учир нь нарийвчилсан төлөв ихэвчлэн бүтэлгүйтсэн үе шатыг нэрлэдэг:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Буцаж ирсэн зүйлийг өөрийн гарцын төрөл болон IKE хувилбарт дэмжигдэх багцтай харьцуулж, тэнд байхдаа хоёр трафикийн селекторыг бичээрэй. Селекторын зөрүү нь алгоритмын зөрүүтэй ижил туннель доош байх шинж тэмдгийг өгдөг бөгөөд алгоритмаас ялгаатай нь үүнийг та өөрөө засах ёстой.

36,000 секунд бол дээд хязгаар

1-р фаз 36,000 секундэд зогсдог. 86,400-д тохируулсан төхөөрөмж хариулагч хэзээ ч зөвшөөрөхгүй зүйлийг шаардаж байгаа бөгөөд дахин оролдох нь түүний бодлыг өөрчлөхгүй. Алсын саналыг хязгаар дотор буцаавал мөнөөх тохиргоо тогтоно; тэгш бус байдал нь бүх хичээл юм, учир нь та өөрийн утгыг буулгаж болно, Google-ийн утгыг өсгөж чадахгүй.

Сонгосон утгыг дизайны тэмдэглэлд бичээрэй. Эс бөгөөс дараагийн инженер 24 цагийн туршилтыг давтаж, мөнөөх хананд тулгарна.

Дэмжигдэх багц нь гарцын төрөл болон IKE хувилбар тус бүрээр энд нийтлэгддэг: Cloud VPN тойм-д, тиймээс ерөнхий IKE гарын авлагын оронд өөрийн топологийн хэсгийг уншина уу.

Хуваарийн дагуу унадаг туннель

2-р фаз өөрөөр ажилладаг: хоёр үзүүр санал нийлэхгүй бол түлхүүр шинэчлэлт богино интервалыг дагана. Зөрүүг үхэлд хүргэх гэж үздэг peer нь оронд нь туннелийг унагадаг тул нэг зөрүү хоёр хамааралгүй гэмтэл мэт харагдаж болно. Түлхүүр шинэчлэлтийн хэмнэлийг хараарай, зөвхөн эхний холболтыг биш. Өсөөд дараа нь тогтмол хэмнэлээр унадаг туннель нь маршрутлалтын алдаанаас илүү хугацааны зөрүү байх нь элбэг.

Ямар нэг зүйлийг өөрчлөхөөс өмнө тэдгээр уналтын цагийн тэмдгийг peer-ийн өөрийн логтой холбоно уу, учир нь селектор эсвэл маршрутын өөрчлөлт мөнөөх хэмнэлийг дуурайж болно. Хэмнэл 2-р фазын таймертай таарвал саналд хүрэлгүйгээр шалтгаан олдсон гэсэн үг.

Багцууд гарцын төрлөөс гардаг

Шифрлэлт ба бүрэн бүтэн байдлын багцууд нь strongSwan-ы адил засварладаг туннель тус бүрийн профайл биш. Та тэдгээрийг гарцын төрөл болон IKE хувилбараар сонгодог бөгөөд байхгүй профайл хайх нь нэг үдээс хойшийг үрэх юм.

Дэмжигдэх багцын дотор юу ч санал болгодоггүй хуучин төхөөрөмж хоёр шударга зам үлдээдэг: төхөөрөмжийг солих, эсвэл өөрийн хянадаг програм хангамжийн гарцад дуусгаад тэндээс VPC руу маршрутлах. Бусад бүх зүйл дараагийн хяналтад унах түр зуурын шийдэл юм.

Төхөөрөмж бүрт нэг гадаад хаяг

Peer-ийн гадаад хаяг нь түүний дотоод хаяг руу нэг-нэг харьцах ёстой. Хэт ачаалалтай PAT сан ажиллаж чадахгүй, учир нь нэг нийтийн хаягийн ард байгаа хэд хэдэн хост хариулагчид тэдгээрийг ялгах ямар ч арга өгөхгүй. Хэд хэдэн хост хаягийг хуваалцах шаардлагатай бол туннель тэдгээрийг ялгаж чадах газарт дуусах ёстой.

Тэр гадаад хаягийг ч тогтвортой бариарай. Төхөөрөмжийг өөр NAT-ийн ард зөөвөл санал бүр тохирч байсан ч холбоо тасарна. Аль утгууд Google-ийнх, аль нь таных болохыг бичих нь үнэ цэнэтэй: хугацаа, багц, нэг-нэг NAT нь тэдний талд тогтмол, харин санал, селектор, маршрутлалт, BGP-ийн давуу эрх нь таных.