Had Cloud VPN yang tidak boleh dilaraskan: jangka hayat IKE dan NAT rakan sebaya

Cloud VPN berunding jangka hayat IKE dalam had tetap dan memerlukan NAT satu-ke-satu di rakan sebaya. Rancang peranti jauh berdasarkan itu, bukan berdasarkan sisi Google.

Berikan peranti jauh jangka hayat fasa 1 selama 24 jam dan terowong Cloud VPN kekal turun, walaupun semuanya di sisi Google dikonfigurasikan dengan betul. Rakan sebaya mencadangkan nilai yang tidak akan diterima oleh responden, jadi rundingan sama ada gagal sepenuhnya atau bermula semula tanpa henti. Cloud VPN mengehadkan fasa 1 kepada 36,000 saat, iaitu sepuluh jam, dan had itu bukan tetapan yang boleh anda naikkan. Perubahan itu terletak pada peranti jauh.

Rakan sebaya bertanya, responden memutuskan

IKE ialah latihan pemadanan antara dua set cadangan. Terowong hanya terbentuk di tempat set itu bertindih dalam had yang diterima responden, itulah sebabnya jangka hayat di luar julat tidak menghasilkan terowong separa langsung. Kesilapan biasa ialah memperlakukan konfigurasi rakan sebaya sebagai senarai hasrat dan bukan sebagai cadangan. Persilangan kosong membiarkan terowong turun, betapa pun betulnya penghalaan dan pemilihnya.

Baca keadaan terowong itu sendiri sebelum membuka kes, kerana status terperinci biasanya menamakan peringkat yang gagal:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Bandingkan apa yang kembali dengan set yang disokong untuk jenis get laluan dan versi IKE anda, dan catat kedua-dua pemilih trafik semasa anda di sana. Ketidakpadanan pemilih memberi gejala terowong turun yang sama seperti ketidakpadanan algoritma, dan tidak seperti algoritma, yang ini terpulang kepada anda untuk membetulkannya.

36,000 saat ialah silingnya

Fasa 1 berhenti pada 36,000 saat. Peranti yang ditetapkan kepada 86,400 meminta sesuatu yang tidak akan dipersetujui responden, dan cuba semula tidak mengubah fikirannya. Putar semula cadangan jauh ke dalam julat dan konfigurasi yang sama akan terbentuk; asimetri itulah seluruh pengajarannya, kerana anda boleh menurunkan nilai anda sendiri dan tidak boleh menaikkan nilai Google.

Tulis nilai yang dipilih dalam nota reka bentuk. Jika tidak, jurutera seterusnya mengulangi eksperimen 24 jam dan menemui dinding yang sama.

Set yang disokong diterbitkan mengikut jenis get laluan dan versi IKE dalam gambaran keseluruhan Cloud VPN, jadi bacalah bahagian untuk topologi anda dan bukan panduan IKE umum.

Terowong yang jatuh mengikut jadual

Fasa 2 berkelakuan berbeza: apabila kedua-dua hujung tidak bersetuju, pembaharuan kunci mengikut selang yang lebih pendek. Rakan sebaya yang menganggap ketidakpadanan sebagai maut akan menjatuhkan terowong, jadi satu ketidakpadanan boleh kelihatan seperti dua kerosakan yang tidak berkaitan. Perhatikan irama pembaharuan kunci, bukan hanya sambungan pertama. Terowong yang naik dan kemudian jatuh pada rentak tetap lebih kerap merupakan ketidakpadanan jangka hayat daripada kecacatan penghalaan.

Kaitkan cap masa jatuh itu dengan log rakan sebaya sendiri sebelum mengubah apa-apa, kerana perubahan pemilih atau laluan boleh meniru irama yang sama. Jika rentak sepadan dengan pemasa fasa 2, puncanya ditemui tanpa menyentuh cadangan.

Set datang daripada jenis get laluan

Set sifer dan integriti bukan profil setiap terowong yang anda sunting seperti yang dibenarkan strongSwan. Anda memilihnya mengikut jenis get laluan dan versi IKE, dan memburu profil yang tidak wujud membazirkan satu petang.

Peranti lama yang tidak menawarkan apa-apa dalam set yang disokong meninggalkan dua jalan jujur: ganti peranti itu, atau tamatkan pada get laluan perisian yang anda kawal dan halakan ke VPC dari situ. Apa-apa selain itu ialah jalan pintas yang akan gagal semakan seterusnya.

Satu alamat luaran setiap peranti

Alamat luaran rakan sebaya mesti dipetakan satu-ke-satu kepada alamat dalamannya. Kolam PAT yang terlebih beban tidak boleh berfungsi, kerana beberapa hos di belakang satu alamat awam tidak memberi responden cara untuk memisahkan mereka. Di mana beberapa hos perlu berkongsi alamat, terowong mesti tamat di sesuatu tempat yang boleh membezakan mereka.

Kekalkan alamat luaran itu juga stabil. Pindahkan peranti ke belakang NAT lain dan persatuan itu terputus walaupun setiap cadangan masih sepadan. Wajar dicatat nilai mana milik Google dan mana milik anda: jangka hayat, set dan NAT satu-ke-satu ditetapkan di sisi mereka, manakala cadangan, pemilih, penghalaan dan keutamaan BGP milik anda.

Artikel berkaitan