Cara membuat AWS memulakan terowong Site-to-Site VPN
Tindakan permulaan dan tindakan tamat masa DPD menjawab soalan yang berbeza. Tetapkan yang membuat AWS memulakan, kemudian semak alamat rakan dan laluan aplikasi.
Secara lalai, AWS Site-to-Site VPN menunggu customer gateway memulakan rundingan. Lalai itu ialah tetapan, bukan undang-undang, dan tetapan itu dipanggil Startup action. Sebelum anda menyentuhnya, pisahkan dua soalan yang sentiasa bercampur: siapa yang membina terowong, dan sama ada paket yang anda pedulikan mempunyai laluan melaluinya. Hanya yang pertama berada dalam pilihan terowong.
Pisahkan tindakan permulaan daripada tindakan tamat masa DPD
Dua pilihan setiap terowong mengawal dua peristiwa berbeza, dan menetapkan satu tidak mengatakan apa-apa tentang yang lain.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Jika AWS perlu membina terowong baharu atau yang diubah, pilih start. Jika AWS juga perlu memulakan semula rundingan selepas tamat masa DPD, konfigurasikan restart untuk peristiwa itu secara berasingan. Kedua-dua pilihan itu bukan dasar cubaan semula aplikasi, dan bukan selang pertukaran kunci: DPD menyemak sama ada rakan masih hidup, manakala pertukaran kunci menggantikan security associations pada terowong yang aktif.
Aplikasi yang tamat masa sedangkan terowong masih melaporkan up menghadapi masalah laluan data. Memendekkan pemasa DPD tidak akan membaikinya dan boleh menambah kekecohan yang perlu anda jelaskan kemudian.
Semak bahawa AWS mempunyai tempat untuk menghantar rundingan
Permulaan dari pihak AWS hanya berfungsi dengan IKEv2, dan AWS memerlukan alamat awam customer gateway untuk tahu ke mana cadangan dihantar. Kes yang paling perit ialah sumber customer gateway yang disahkan sijil dan dicipta tanpa alamat: dokumentasi AWS menerangkan penciptaan sumber customer gateway baharu dengan alamat itu dan kemudian pengubahsuaian sambungan VPN untuk menunjuk kepadanya.
Sijil membuktikan siapa rakannya. Ia tidak memberitahu AWS di mana rakan berada, dan itu dua keperluan berbeza. Sebab itu penyelesaiannya ialah sumber customer gateway baharu dan bukan sijil baharu. Menukar sijil meninggalkan AWS dengan destinasi yang sama hilang.
Jika customer gateway berada di belakang NAT, AWS juga memerlukan responder identity yang dikonfigurasikan, IDr, supaya identiti rakan sepadan dengan apa yang dijangkakan peranti. Sahkan nilai itu dan laluan firewall yang menerima trafik IKE sebelum menyalahkan pilihan yang baru anda ubah. Memilih start tidak boleh membuat rakan yang tidak dapat dicapai atau salah dikenal pasti menerima cadangan.
Gunakan perubahan pada satu terowong dan jangkakan gangguan
Sambungan VPN mempunyai dua terowong dengan pilihan bebas, jadi sahkan yang mana anda sunting melalui alamat luarnya. AWS membenarkan satu terowong diubah pada satu masa, dan sambungan melalui terowong yang dipilih boleh terputus selama beberapa minit.
- Pilih sambungan Site-to-Site VPN dan buka Modify VPN tunnel options.
- Pilih terowong mengikut alamat IP luar dan sahkan versi IKE serta sumber customer gateway-nya.
- Tetapkan tindakan permulaan dan DPD yang benar-benar anda mahu, kemudian simpan dalam tetingkap yang anda kawal.
- Sahkan terowong yang diubah terbentuk, dan semak terowong lain serta penghalaan sebelum perubahan seterusnya.
Satu tingkah laku wajar diberi perhatian sebelum penyelenggaraan. Dengan permulaan AWS dihidupkan tiada tamat masa: AWS terus mencuba sehingga terowong naik, dan ia memulakan semula apabila customer gateway menghantar mesej delete-SA. Jika anda mematikan rakan secara sengaja, AWS akan terus mengetuk, dan log rakan akan menunjukkannya.
Sahkan laluan aplikasi, bukan hanya keadaan terowong
Terowong yang melaporkan up tidak sama dengan permintaan yang berfungsi. Fungsi Lambda yang dipasang pada VPC masih memerlukan laluan subnet ke awalan pelanggan, peraturan security group dan network ACL yang membenarkan trafik, penyelesaian nama yang mengembalikan alamat yang betul, dan laluan balik di sebelah pelanggan.
Uji sekali dengan permintaan sebenar daripada konteks aplikasi, kemudian baca flow logs jika ia gagal. Trafik keepalive ialah pilihan yang sah apabila permulaan AWS dimatikan dan terowong terbiar memerlukan paket untuk kekal, tetapi ia harus menjadi keputusan pemantauan yang boleh anda namakan, bukan gelung ping tidak dijelaskan yang dibaut pada fungsi.
Pilih dahulu siapa yang membina terowong, kemudian diagnosis kegagalan yang tinggal pada lapisannya sendiri. Dokumentasi AWS tentang permulaan merangkumi keperluan alamat, identiti dan cubaan semula dengan lebih terperinci daripada petunjuk konsol.