Rotazzjoni ta' PSK tal-AWS VPN: liema tunnel jaqa', u meta

It-tunnel jaqa' fil-mument li ż-żewġt trufijiet ma jaqblux dwar iċ-ċavetta maqsuma minn qabel, u jibqa' 'l isfel sakemm iż-żewġ naħat iġorru l-valur il-ġdid. Dan il-parti huwa mistenni: l-AWS tittratta l-bidla bħala interruzzjoni tat-tunnel magħżul, u l-peer mhux se jtemm IKE sakemm iċ-ċwievet ikunu differenti. Dak li jissorprendi n-nies huwa t-tieni nofs. It-tunnel l-ieħor ma jiħux it-traffiku waħdu sakemm ma jkunx ivverifikat li jista' jġorru. Dawwar b'dan l-ordni u l-interruzzjoni tibqa' ġewwa tunnel wieħed.

X'jiġri tassew meta tinbidel iċ-ċavetta

ModifyVpnTunnelOptions jerġa' jikteb l-għażliet għal tunnel wieħed, identifikat mill-indirizz IP ta' barra tiegħu. It-tunnel jinqered u jerġa' jinbena, għalhekk IKE u IPsec jinnegozjaw mill-bidu biċ-ċavetta l-ġdida. L-AWS tiddikjara li l-interruzzjoni tista' ddum diversi minuti, li huwa biżżejjed biex protokoll ta' routing jinnotah. It-tunnel l-ieħor fl-istess konnessjoni mhuwiex milqut mis-sejħa.

Hemm it-tieni effett li ta' min ikun jaf qabel ma tibgħat xi ħaġa. L-operazzjoni tal-bidla tieħu s-sett sħiħ ta' għażliet tat-tunnel, għalhekk qasam li tħalli barra jerġa' jiġi miktub bil-valur prestabbilit tiegħu. Jekk tkun aġġustajt it-tul tal-ħajja tal-fażi 1 jew tal-fażi 2, jew is-settings tal-iskoperta tal-peer mejjet, għaddi l-valuri attwali fl-istess talba jew ippjana li terġa' tistabbilixxihom wara.

Aqra l-valuri attwali l-ewwel, imbagħad ibdel qasam wieħed. Dak l-ordni huwa d-dixxiplina kollha ta' dan ix-xogħol.

Qabbel it-tunnel tal-AWS mal-peer it-tajjeb l-ewwel

Il-console ttikketta t-tunnels skont l-ordni, u l-apparat tiegħek ma jużax dik it-tikketta. Identifika t-tunnel mill-indirizz IP ta' barra tiegħu u qabbdu mat-taqsima tal-peer fuq il-gateway tal-klijent. Tunnel 1 f'konfigurazzjoni lokali mhuwiex prova li qed teditja t-tunnel li l-AWS issejjaħ tunnel 1.

Ibda mill-konnessjoni nnifisha, li telenka ż-żewġ tunnels u ċ-ċavetta li kull wieħed għandu bħalissa:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Iċ-ċavetta li tirritorna hija dik li qed tintuża bħalissa. Qabbilha mal-konfigurazzjoni tal-peer qabel ma tibdel xi ħaġa, għax nuqqas ta' qbil li diġà jeżisti jispjega tunnel li qatt ma kien stabbli.

Ħalli t-tunnel l-ieħor iġorr it-traffiku l-ewwel

Żewġ tunnels f'konnessjoni waħda ma jippruvawx li l-apparat tiegħek ikkonfigura t-tnejn, li t-tnejn jirreklamaw il-prefissi li għandek bżonn, jew li t-traffiku jiċċaqlaq bejniethom. Iċċekkja n-negozjar tat-tunnel alternattiv, ir-rotot tiegħu u fluss ta' applikazzjoni reali fiż-żewġ direzzjonijiet. Bil-BGP, ġirien ħaj huwa prova utli iżda mhuwiex l-istess bħall-konferma tal-prefissi. Bir-routing statiku, ikkonferma kif il-gateway jagħżel il-passaġġ u x'jagħmel meta dak preferut jisparixxi.

Jekk l-alternattiv ma jistax iġorr ix-xogħol, ippjana l-interruzzjoni jew sewwi t-tunnel alternattiv qabel ma tmiss iċ-ċavetta. Dawl tal-istat fuq paġna tal-console mhuwiex wegħda ta' servizz bla waqfien.

Dawwar tunnel wieħed, imbagħad ivverifika bit-traffiku reali

Meta l-passaġġ alternattiv ikun ippruvat, l-ordni hija qasira. Innota l-indirizz tat-tunnel, il-peer tiegħu u s-settings li mhumiex sigrieti, u żomm passaġġ ta' ġestjoni lejn il-gateway li ma jiddependix mit-tunnel li se tkisser.

1. Aġġorna l-peer tal-gateway tal-klijent għall-indirizz ta' barra magħżul, jew ħejji l-bidla biex tidħol fis-seħħ sekondi wara s-sejħa tal-API.
2. Ibgħat is-sejħa tal-bidla biċ-ċavetta l-ġdida flimkien mat-tul tal-ħajja u l-valuri DPD attwali.
3. Stenna li IKE u IPsec jerġgħu lura, imbagħad ikkonferma r-rotot u l-prefissi meħtieġa.
4. Għaddi fluss rappreżentattiv ta' applikazzjoni minn dak it-tunnel u osserva ż-żewġ direzzjonijiet.

It-tunnel mhuwiex użabbli sakemm it-trufijiet ma jaqblux u sakemm l-AWS tapplika l-bidla, għalhekk l-aġġornament tal-peer irid isegwi minnufih u mhux wara l-ikel. Biss meta t-tunnel mibdul iġorr traffiku reali għandek tirrepeti l-proċedura fuq l-ieħor.

Ieqaf jekk l-irkupru jew ir-routing għadhom inċerti wara l-ewwel tunnel. Żewġ tunnels li jaħdmu nofs triq huma agħar minn wieħed li taf li jaħdem.

Meta l-irkupru jieqaf, aqra n-naħa tal-IKE

Tunnel li jibqa' 'l isfel wara li ż-żewġ trufijiet ikollhom iċ-ċavetta l-ġdida normalment huwa nuqqas ta' qbil fil-politika li r-rotazzjoni uriet u mhux ħolqot. Il-proposti, l-identità li tibgħat il-peer u l-għażliet tat-traffiku kollha jridu jaqblu man-naħa tal-AWS, u valur li baqa' ħaj minn tunnel stabbilit xorta jista' jiġi miċħud waqt negozjar ġdid. Aqra l-istat tan-negozjar u l-messaġġ mehmuż miegħu qabel ma tbiddel iċ-ċavetta t-tieni darba.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Jekk il-bidla trid tiġi mħassra, terġax tistabbilixxi ċ-ċavetta l-antika biss għax kienet taħdem qabel. Ittratta ċavetta kompromessa bħala kompromessa u sewwi n-negozjar minflok. Temm b'żewġ tunnels ivverifikati u l-inventarju tas-sigrieti aġġornat sabiex kull peer jirreġistra liema valur għandu, u żomm id-dokumentazzjoni tal-għażliet tat-tunnel tal-AWS ħdejn ir-runbook.