Slik får du AWS til å starte ein Site-to-Site VPN-tunnel
Starthandling og DPD-timeout-handling svarar på ulike spørsmål. Set den som får AWS til å starte, og sjekk deretter peer-adressa og ruta til appen.
Som standard ventar ein AWS Site-to-Site VPN på at customer gateway startar forhandlinga. Den standarden er ei innstilling, ikkje ei lov, og innstillinga heiter Startup action. Før du grip etter henne, skil to spørsmål som stadig blir blanda saman: kven som etablerer tunnelen, og om pakka du bryr deg om har ei rute gjennom han. Berre det første ligg i tunnelvala.
Skil starthandlinga frå DPD-timeout-handlinga
To innstillingar per tunnel styrer to ulike hendingar, og å setje den eine seier ingenting om den andre.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Viss AWS skal reise ein ny eller endra tunnel, vel start. Viss AWS òg skal starte forhandlinga på nytt etter ein DPD-timeout, konfigurer restart for den hendinga separat. Ingen av innstillingane er ein nytt-forsøk-policy for applikasjonen, og ingen av dei er eit nøkkelbyteintervall: DPD sjekkar om peeren lever, medan nøkkelbyte erstattar security associations på ein aktiv tunnel.
Ein applikasjon som får timeout medan tunnelen framleis rapporterer up, har eit datapath-problem. Å korte ned DPD-timeren rettar det ikkje, og det kan gje uro du må forklare seinare.
Kontroller at AWS har ein stad å sende forhandlinga
Initiering frå AWS-sida verkar berre med IKEv2, og AWS treng den offentlege adressa til customer gateway for å vite kvar forslaget skal sendast. Tilfellet som verkeleg svi, er ein sertifikatautentisert customer gateway-ressurs oppretta utan adresse: AWS-dokumentasjonen skildrar å opprette ein ny customer gateway-ressurs med adressa og deretter endre VPN-tilkoplinga til å peike på han.
Eit sertifikat provar kven peeren er. Det fortel ikkje AWS kvar peeren er, og det er to ulike krav. Difor er løysinga ein ny customer gateway-ressurs og ikkje eit nytt sertifikat. Å byte sertifikatet lèt AWS sitje att med den same manglande destinasjonen.
Viss customer gatewayen sit bak NAT, treng AWS òg ein konfigurert responder identity, IDr, slik at identiteten til peeren stemmer med det eininga ventar. Stadfest den verdien og brannmurvegen som slepp IKE-trafikk gjennom, før du gir innstillinga du nettopp endra skulda. Å velje start kan ikkje få ein peer som ikkje er nåbar eller er feil identifisert til å godta eit forslag.
Bruk endringa på éin tunnel, og vent eit avbrot
Ei VPN-tilkopling har to tunnelsamband med uavhengige innstillingar, så stadfest ut frå den ytre adressa kven du redigerer. AWS tillèt å endre éin tunnel om gongen, og tilkoplinga over den valde tunnelen kan bli avbroten i fleire minutt.
- Vel Site-to-Site VPN-tilkoplinga, og opne Modify VPN tunnel options.
- Vel tunnelen etter ytre IP-adresse, og stadfest IKE-versjonen og customer gateway-ressursen.
- Set start- og DPD-handlingane du faktisk vil ha, og lagre deretter i eit tidsvindauge du kontrollerer.
- Stadfest at den endra tunnelen blir etablert, og kontroller den andre tunnelen og rutinga før neste endring.
Éi åtferd fortener merksemd før vedlikehald. Med AWS-initiering påslått finst det ingen timeout: AWS held fram med å prøve til tunnelen kjem opp, og det initierer på nytt når customer gatewayen sender ei delete-SA-melding. Tek du peeren ned med vilje, vil AWS halde fram med å banke på, og loggane til peeren vil vise det.
Stadfest vegen til applikasjonen, ikkje berre tilstanden til tunnelen
Ein tunnel som rapporterer up, er ikkje det same som ein førespurnad som verkar. Ein Lambda-funksjon knytt til ein VPC treng framleis ei subnet-rute til prefikset til kunden, security group- og network ACL-reglar som tillèt trafikken, namneoppslag som returnerer rett adresse, og ein returveg på kundesida.
Test éin gong med ein ekte førespurnad frå konteksten til applikasjonen, og les deretter flow logs om han feilar. Keepalive-trafikk er eit legitimt alternativ når AWS-initiering er av og ein ledig tunnel treng pakkar for å halde seg oppe, men det bør vere ei overvakingsavgjerd du kan namngje, ikkje ei uforklart ping-løkke bolta på ein funksjon.
Vel fyrst kven som etablerer tunnelen, og diagnostiser deretter den gjenverande feilen i sitt eige lag. AWS-dokumentasjonen om initiering dekkjer krava til adresse, identitet og nye forsøk meir detaljert enn hint i konsollen.