Kif tagħmel biex AWS tibda tunnel Site-to-Site VPN
L-azzjoni tal-bidu u l-azzjoni tat-timeout DPD iwieġbu mistoqsijiet differenti. Issettja dik li tagħmel lil AWS tibda, imbagħad iċċekkja l-indirizz tal-pari u r-rotta tal-app.
B'mod awtomatiku, AWS Site-to-Site VPN tistenna li l-customer gateway jibda n-negozjati. Dan l-awtomatiku huwa setting, mhux liġi, u s-setting jissejjaħ Startup action. Qabel ma tmur għalih, ifred żewġ mistoqsijiet li jiġu mħallta kontinwament: min jibni t-tunnel, u jekk il-pakketti li jinteressawk għandhomx rotta minnu. L-ewwel wieħed biss jinsab fl-għażliet tat-tunnel.
Ifred l-azzjoni tal-bidu mill-azzjoni tat-timeout DPD
Żewġ għażliet għal kull tunnel jirregolaw żewġ avvenimenti differenti, u li tissettja waħda ma tgħid xejn dwar l-oħra.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Jekk AWS għandha tibni tunnel ġdid jew mibdul, agħżel start. Jekk AWS għandha wkoll terġa' tibda n-negozjati wara timeout DPD, ikkonfigura restart għal dak l-avveniment separatament. L-ebda għażla mhija politika ta' tentattivi mill-ġdid tal-app, u l-ebda waħda mhija intervallo ta' bidla tal-muftieħ: DPD jiċċekkja jekk il-pari huwiex ħaj, filwaqt li l-bidla tal-muftieħ tissostitwixxi s-security associations fuq tunnel attiv.
App li tispiċċa f'waqtha waqt li t-tunnel għadu jirrapporta up għandha problema fit-triq tad-data. Li tqassar it-timer DPD mhux se jsewwiha u jista' jżid inkwiet li jkollok tispjega aktar tard.
Iċċekkja li AWS għandha fejn tibgħat in-negozjati
Il-bidu minn naħa AWS jaħdem biss ma' IKEv2, u AWS teħtieġ l-indirizz pubbliku tal-customer gateway biex tkun taf fejn tibgħat il-proposta. Il-każ li jweġġa' huwa riżorsa customer gateway awtentikata b'ċertifikat maħluqa mingħajr indirizz: id-dokumentazzjoni ta' AWS tiddeskrivi l-ħolqien ta' riżorsa customer gateway ġdida bl-indirizz u mbagħad il-modifika tal-konnessjoni VPN biex tindika lejha.
Ċertifikat jipprova min hu l-pari. Ma jgħid lill-AWS fejn jinsab il-pari, u dawn huma żewġ rekwiżiti differenti. Għalhekk is-soluzzjoni hija riżorsa customer gateway ġdida u mhux ċertifikat ġdid. Li tbiddel iċ-ċertifikat iħalli lil AWS bl-istess destinazzjoni nieqsa.
Jekk il-customer gateway jinsab wara NAT, AWS teħtieġ ukoll responder identity konfigurat, IDr, sabiex l-identità tal-pari taqbel ma' dak li jistenna l-apparat. Ikkonferma dak il-valur u t-triq tal-firewall li tħalli t-traffiku IKE jgħaddi qabel ma tagħti l-ħtija lill-għażla li għadek kemm bdilt. L-għażla ta' start ma tistax iġġiegħel pari li ma jintlaħaqx jew identifikat ħażin jaċċetta proposta.
Applika l-bidla fuq tunnel wieħed u stenna interruzzjoni
Konnessjoni VPN għandha żewġ tunnels b'għażliet indipendenti, għalhekk ikkonferma minn xiema' qed teditja mill-indirizz ta' barra tiegħu. AWS tippermetti li tinbidel tunnel wieħed kull darba, u l-konnettività minn fuq it-tunnel magħżul tista' tinqata' għal ftit minuti.
- Agħżel il-konnessjoni Site-to-Site VPN u iftaħ Modify VPN tunnel options.
- Agħżel it-tunnel mill-indirizz IP ta' barra u kkonferma l-verżjoni IKE u r-riżorsa customer gateway tiegħu.
- Issettja l-azzjonijiet tal-bidu u tad-DPD li tassew trid, imbagħad issalva f'perjodu li tikkontrolla.
- Ikkonferma li t-tunnel mibdul jistabbilixxi, u ċċekkja t-tunnel l-ieħor u r-routing qabel il-bidla li jmiss.
Imġiba waħda tistħoqq attenzjoni qabel il-manutenzjoni. Bil-bidu minn AWS mixgħul m'hemmx timeout: AWS tibqa' tipprova sakemm it-tunnel jogħla, u terġa' tibda meta l-customer gateway jibgħat messaġġ delete-SA. Jekk twaqqa' l-pari apposta, AWS tibqa' tħabbat, u l-logs tal-pari juru dan.
Ivverifika t-triq tal-app, mhux biss l-istat tat-tunnel
Tunnel li jirrapporta up mhuwiex l-istess bħal talba li taħdem. Funzjoni Lambda imwaħħla ma' VPC xorta teħtieġ rotta subnet lejn il-prefiss tal-klijent, regoli security group u network ACL li jippermettu t-traffiku, riżoluzzjoni tal-ismijiet li tirritorna l-indirizz it-tajjeb, u triq tar-ritorn fuq in-naħa tal-klijent.
Ittestja darba b'talba vera mill-kuntest tal-app, imbagħad aqra l-flow logs jekk tfalli. It-traffiku keepalive huwa għażla leġittima meta l-bidu minn AWS mitfi u tunnel inattiv jeħtieġ pakketti biex jibqa' għoli, imma għandu jkun deċiżjoni ta' monitoraġġ li tista' ssemmiha, mhux linja ping mhux spjegata mtellgħa ma' funzjoni.
Agħżel l-ewwel min jibni t-tunnel, imbagħad iddijanjostika l-falliment li jifdal fil-livell tiegħu stess. Id- dokumentazzjoni ta' AWS dwar il-bidu tkopri r-rekwiżiti tal-indirizz, l-identità u t-tentattivi mill-ġdid b'aktar dettall minn kif jagħmlu l-ħjiel tal-console.