Memutar PSK AWS VPN: terowong mana yang jatuh, dan bila

Terowong jatuh pada saat kedua-dua hujung tidak bersetuju tentang kunci yang dikongsi awal, dan ia kekal turun sehingga kedua-dua pihak membawa nilai baharu. Bahagian itu dijangka: AWS menganggap perubahan itu sebagai gangguan pada terowong yang dipilih, dan rakan tidak akan menamatkan IKE selagi kuncinya berbeza. Yang mengejutkan orang ialah separuh kedua. Terowong lain tidak menyerap trafik dengan sendirinya melainkan anda telah memeriksa bahawa ia mampu membawanya. Putar dalam susunan ini dan gangguan itu kekal di dalam satu terowong.

Apa yang sebenarnya berlaku apabila kunci berubah

ModifyVpnTunnelOptions menulis semula pilihan untuk satu terowong, yang dikenal pasti melalui alamat IP luarnya. Terowong itu dirobohkan dan dibina semula, jadi IKE dan IPsec berunding dari awal dengan kunci baharu. AWS menyatakan gangguan itu boleh berlangsung beberapa minit, yang cukup lama untuk protokol penghalaan menyedarinya. Terowong lain dalam sambungan yang sama tidak disentuh oleh panggilan itu.

Ada kesan kedua yang wajar diketahui sebelum anda menghantar apa-apa. Operasi ubah mengambil keseluruhan set pilihan terowong, jadi medan yang anda tinggalkan ditulis semula dengan nilai lalainya. Jika anda telah menala jangka hayat fasa 1 atau fasa 2, atau tetapan pengesanan rakan mati, hantar nilai semasa dalam permintaan yang sama atau rancang untuk memulihkannya selepas itu.

Baca nilai semasa dahulu, kemudian ubah satu medan. Urutan itulah keseluruhan disiplin tugasan ini.

Padankan terowong AWS dengan rakan yang betul dahulu

Konsol melabel terowong mengikut susunan, dan peranti anda tidak menggunakan label itu. Kenal pasti terowong melalui alamat IP luarnya dan padankannya dengan bahagian rakan pada get laluan pelanggan. Terowong 1 dalam konfigurasi setempat bukan bukti bahawa anda sedang menyunting terowong yang AWS panggil terowong 1.

Mulakan dengan sambungan itu sendiri, yang menyenaraikan kedua-dua terowong dan kunci yang dipegang oleh setiap satu sekarang:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Kunci yang dikembalikan ialah kunci yang sedang digunakan sekarang. Bandingkannya dengan konfigurasi rakan sebelum anda mengubah apa-apa, kerana ketidakpadanan yang sudah wujud menjelaskan terowong yang tidak pernah stabil.

Biarkan terowong lain membawa trafik dahulu

Dua terowong dalam satu sambungan tidak membuktikan bahawa peranti anda mengkonfigurasi kedua-duanya, bahawa kedua-duanya mengumumkan awalan yang anda perlukan, atau bahawa trafik bergerak antara keduanya. Periksa rundingan terowong alternatif, laluannya dan aliran aplikasi sebenar dalam kedua-dua arah. Dengan BGP, kejiranan hidup ialah bukti berguna tetapi tidak sama dengan mengesahkan awalan. Dengan penghalaan statik, sahkan cara get laluan memilih laluan dan apa yang dilakukannya apabila laluan pilihan hilang.

Jika alternatif tidak dapat membawa beban kerja, jadualkan gangguan itu atau baiki terowong alternatif sebelum anda menyentuh kunci. Lampu status pada halaman konsol bukan janji perkhidmatan tanpa gangguan.

Putar satu terowong, kemudian sahkan dengan trafik sebenar

Setelah laluan alternatif dibuktikan, urutannya pendek. Catat alamat terowong, rakannya dan tetapan bukan rahsia, dan kekalkan laluan pengurusan ke get laluan yang tidak bergantung pada terowong yang akan anda putuskan.

1. Kemas kini rakan get laluan pelanggan untuk alamat luar yang dipilih, atau sediakan perubahan itu supaya berkuat kuasa beberapa saat selepas panggilan API.
2. Hantar panggilan ubah dengan kunci baharu serta jangka hayat dan nilai DPD semasa.
3. Tunggu IKE dan IPsec kembali, kemudian sahkan laluan dan awalan yang diperlukan.
4. Salurkan aliran aplikasi yang mewakili melalui terowong itu dan perhatikan kedua-dua arah.

Terowong tidak boleh digunakan selagi hujungnya tidak bersetuju dan selagi AWS menggunakan perubahan itu, jadi kemas kini rakan mesti menyusul serta-merta dan bukan selepas makan tengah hari. Hanya apabila terowong yang diubah membawa trafik sebenar patut anda mengulangi prosedur pada terowong yang satu lagi.

Berhenti jika pemulihan atau penghalaan masih tidak pasti selepas terowong pertama. Dua terowong yang separuh berfungsi lebih buruk daripada satu yang anda tahu berfungsi.

Apabila pemulihan tersekat, baca bahagian IKE

Terowong yang kekal turun selepas kedua-dua hujung memegang kunci baharu biasanya ketidakpadanan dasar yang didedahkan oleh putaran, bukan yang diciptanya. Cadangan, identiti yang dihantar oleh rakan dan pemilih trafik semuanya mesti bersetuju dengan bahagian AWS, dan nilai yang bertahan pada terowong yang sudah mantap masih boleh ditolak semasa rundingan baharu. Baca status rundingan dan mesej yang dilampirkan sebelum anda mengubah kunci untuk kali kedua.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Jika perubahan itu perlu dibatalkan, jangan pulihkan kunci lama semata-mata kerana ia pernah berfungsi. Anggap kunci yang terjejas sebagai terjejas dan baiki rundingan itu. Akhiri dengan kedua-dua terowong disahkan dan inventori rahsia dikemas kini supaya setiap rakan mencatat nilai mana yang dipegangnya, dan simpan dokumentasi pilihan terowong AWS di sebelah runbook.