AWS VPN PSK-г эргүүлэх: аль туннель унах, хэзээ

AWS VPN туннелийн нэг урьдчилан хуваалцсан түлхүүрийг өөрчлөх нь хоёр тал тохиролцох хүртэл тэр туннелийг унагана. Эхлээд өөр замыг баталж, дараа нь туннелүүдийг нэг нэгээр нь эргүүлээрэй.

Хоёр үзүүр урьдчилан хуваалцсан түлхүүрийн талаар санал зөрөх тэр мөчид туннель унаж, хоёр тал шинэ утгыг авч ялах хүртэл доошоо байна. Энэ хэсэг нь хүлээгдэж буй зүйл: AWS өөрчлөлтийг сонгосон туннелийн тасалдал гэж үздэг бөгөөд түлхүүрүүд ялгаатай байхад хамтрагч IKE-г дуусгахгүй. Хүмүүсийг гайхшруулдаг нь хоёр дахь хагас. Нөгөө туннель өөрөө трафикийг хүлээж авахгүй, хэрэв та түүнийг дааж чадахыг шалгаагүй бол. Энэ дарааллаар эргүүлээрэй, тасалдал нэг туннелийн дотор үлдэнэ.

Түлхүүр өөрчлөгдөхөд үнэндээ юу болдог

ModifyVpnTunnelOptions нэг туннелийн тохиргоог дахин бичдэг бөгөөд түүнийг гадаад IP хаягаар тодорхойлно. Туннель буулгагдаж дахин баригддаг тул IKE болон IPsec шинэ түлхүүрээр тэгээс хэлэлцээр хийдэг. AWS тасалдал хэдэн минут үргэлжилж болохыг мэдэгддэг бөгөөд энэ нь чиглүүлэлтийн протокол анзаарахад хангалттай урт юм. Мөн холболтын нөгөө туннельд энэ дуудлага хүрэхгүй.

Ямар нэг зүйл илгээхээс өмнө мэдэх ёстой хоёр дахь нөлөө байна. Өөрчлөлтийн үйлдэл туннелийн тохиргооны бүрэн багцыг авдаг тул орхигдуулсан талбар анхны утгаараа буцаж бичигдэнэ. Хэрэв та 1-р эсвэл 2-р фазын амьдрах хугацаа эсвэл үхсэн хамтрагчийг илрүүлэх тохиргоог тохируулсан бол одоогийн утгуудыг мөн адил хүсэлтэд дамжуулна уу эсвэл дараа нь сэргээхээр төлөвлөөрэй.

Эхлээд одоогийн утгуудыг уншиж, дараа нь нэг талбарыг өөрчил. Энэ дараалал нь энэ ажлын бүх сахилга бат юм.

Эхлээд AWS туннелийг зөв хамтрагчтай тааруул

Консол туннелүүдийг дарааллаар нь шошголдог бөгөөд таны төхөөрөмж тэр шошгыг ашигладаггүй. Туннелийг гадаад IP хаягаар нь тодорхойлж, харилцагчийн гарцын хамтрагчийн хэсэгтэй тааруул. Орон нутгийн тохиргооны 1-р туннель нь AWS-ийн 1-р туннель гэж нэрлэдэг туннелийг засварлаж байгаагийн баталгаа биш.

Холболтоос эхэл, тэнд хоёр туннель болон тус бүрийн одоо барьж буй түлхүүр жагсаагдсан байна:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Буцаж ирэх түлхүүр нь одоо ашиглагдаж буй түлхүүр юм. Ямар нэг зүйлийг өөрчлөхөөс өмнө түүнийг хамтрагчийн тохиргоотой харьцуул, учир нь аль хэдийн байгаа зөрүү нь хэзээ ч тогтвортой байгаагүй туннелийг тайлбарладаг.

Эхлээд нөгөө туннелийг трафик даахад орхи

Нэг холболтын хоёр туннель нь таны төхөөрөмж хоёуланг нь тохируулсан, хоёулаа шаардлагатай префиксүүдийг зарлаж байна, эсвэл тэдгээрийн хооронд трафик хөдөлж байна гэдгийг батлахгүй. Өөр туннелийн хэлэлцээр, түүний маршрутууд болон хоёр чиглэлийн бодит аппликейшн урсгалыг шалга. BGP-тэй бол амьд хөршийн харилцаа нь ашигтай баталгаа боловч префиксүүдийг баталгаажуулахтай ижил биш. Статик чиглүүлэлттэй бол гарц замыг хэрхэн сонгодог, илүүд үзсэн зам алга болоход юу хийдгийг батал.

Хэрэв өөр зам ажлын ачааллыг дааж чадахгүй бол түлхүүрт хүрэхээс өмнө тасалдлыг төлөвлө эсвэл өөр туннелийг зас. Консолын хуудасны статусын гэрэл нь тасралтгүй үйлчилгээний амлалт биш.

Нэг туннелийг эргүүл, дараа нь бодит трафикаар шалга

Өөр зам батлагдсаны дараа дараалал богино. Туннелийн хаяг, түүний хамтрагч, нууц бус тохиргоог тэмдэглэж, тасалдах гэж буй туннелээс хамааралгүй удирдлагын замыг гарц руу хадгал.

  1. Сонгосон гадаад хаягийн хувьд харилцагчийн гарцын хамтрагчийг шинэчил, эсвэл API дуудлагаас хэдхэн секундын дараа хүчин төгөлдөр болохоор өөрчлөлтийг бэлтгэ.
  2. Өөрчлөлтийн дуудлагыг шинэ түлхүүр, одоогийн амьдрах хугацаа болон DPD утгуудын хамт илгээ.
  3. IKE болон IPsec буцаж ирэхийг хүлээгээд маршрутууд болон шаардлагатай префиксүүдийг батал.
  4. Төлөөлөх аппликейшн урсгалыг тэр туннелээр дамжуулж, хоёр чиглэлийг ажигла.

Үзүүрүүд санал нийлэхгүй байх хугацаанд болон AWS өөрчлөлтийг хэрэглэж байх хугацаанд туннель ашиглах боломжгүй тул хамтрагчийн шинэчлэл үдийн хоолны дараа биш, шууд дагах ёстой. Өөрчилсөн туннель бодит трафик даасны дараа л нөгөө дээр процедурыг давт.

Эхний туннелийн дараа сэргээлт эсвэл чиглүүлэлт тодорхойгүй хэвээр байвал зогс. Хагас ажилладаг хоёр туннель ажилладаг гэдгийг мэдэх нэгээс муу.

Сэргээлт гацах үед IKE талыг унш

Хоёр үзүүр шинэ түлхүүрийг барьсны дараа ч доошоо үлдэх туннель нь ихэвчлэн эргүүлэлт илрүүлсэн, үүсгээгүй бодлогын зөрүү юм. Саналууд, хамтрагчийн илгээх таних тэмдэг, трафикийн сонгогчид бүгд AWS талтай нийцэх ёстой бөгөөд тогтсон туннельд даван туулсан утга шинэ хэлэлцээрийн үеэр татгалзагдаж болно. Түлхүүрийг хоёр дахь удаа өөрчлөхөөс өмнө хэлэлцээрийн төлөв болон түүнд хавсаргасан мессежийг унш.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Хэрэв өөрчлөлтийг буцаах шаардлагатай бол хуучин түлхүүрийг зөвхөн өмнө ажиллаж байсан учраас сэргээж болохгүй. Эвдэрсэн түлхүүрийг эвдэрсэн гэж үзэж, оронд нь хэлэлцээрийг зас. Хоёр туннелийг шалгаж, хамтрагч бүр ямар утга барьж буйг тэмдэглэхээр нууцын бүртгэлийг шинэчилж дуусга, AWS туннелийн тохиргооны баримт бичгийг runbook-ийн дэргэд хадгал.

Холбоотой нийтлэлүүд