AWS VPN PSK ਘੁਮਾਉਣਾ: ਕਿਹੜੀ ਸੁਰੰਗ ਡਿੱਗਦੀ ਹੈ, ਅਤੇ ਕਦੋਂ

AWS VPN ਸੁਰੰਗ ਦੀ ਇੱਕ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਬਦਲਣ ਨਾਲ ਉਹ ਸੁਰੰਗ ਉਦੋਂ ਤੱਕ ਡਿੱਗਦੀ ਹੈ ਜਦੋਂ ਤੱਕ ਦੋਵੇਂ ਧਿਰਾਂ ਸਹਿਮਤ ਨਹੀਂ ਹੁੰਦੀਆਂ। ਪਹਿਲਾਂ ਬਦਲਵਾਂ ਰਾਹ ਸਾਬਤ ਕਰੋ, ਫਿਰ ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਸੁਰੰਗ ਘੁਮਾਓ।

ਦੋਵੇਂ ਸਿਰੇ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ 'ਤੇ ਸਹਿਮਤ ਨਾ ਹੋਣ ਦੇ ਪਲ ਹੀ ਸੁਰੰਗ ਡਿੱਗਦੀ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਧਿਰਾਂ ਨਵਾਂ ਮੁੱਲ ਲੈ ਕੇ ਨਾ ਆਉਣ ਤੱਕ ਉਹ ਥੱਲੇ ਹੀ ਰਹਿੰਦੀ ਹੈ। ਇਹ ਹਿੱਸਾ ਉਮੀਦ ਅਨੁਸਾਰ ਹੈ: AWS ਇਸ ਬਦਲਾਅ ਨੂੰ ਚੁਣੀ ਹੋਈ ਸੁਰੰਗ ਦੀ ਰੁਕਾਵਟ ਮੰਨਦਾ ਹੈ, ਅਤੇ ਕੁੰਜੀਆਂ ਵੱਖਰੀਆਂ ਹੋਣ ਤੱਕ ਸਾਥੀ IKE ਪੂਰਾ ਨਹੀਂ ਕਰੇਗਾ। ਲੋਕਾਂ ਨੂੰ ਹੈਰਾਨ ਕਰਨ ਵਾਲਾ ਦੂਜਾ ਅੱਧਾ ਹਿੱਸਾ ਹੈ। ਦੂਜੀ ਸੁਰੰਗ ਆਪਣੇ ਆਪ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਲੈਂਦੀ, ਜਦੋਂ ਤੱਕ ਤੁਸੀਂ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਕਿ ਉਹ ਇਸ ਨੂੰ ਚੁੱਕ ਸਕਦੀ ਹੈ। ਇਸੇ ਕ੍ਰਮ ਵਿੱਚ ਘੁਮਾਓ ਅਤੇ ਰੁਕਾਵਟ ਇੱਕ ਹੀ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਰਹਿੰਦੀ ਹੈ।

ਕੁੰਜੀ ਬਦਲਣ 'ਤੇ ਅਸਲ ਵਿੱਚ ਕੀ ਹੁੰਦਾ ਹੈ

ModifyVpnTunnelOptions ਇੱਕ ਸੁਰੰਗ ਦੇ ਵਿਕਲਪ ਮੁੜ ਲਿਖਦਾ ਹੈ, ਜਿਸ ਦੀ ਪਛਾਣ ਉਸ ਦੇ ਬਾਹਰੀ IP ਪਤੇ ਨਾਲ ਹੁੰਦੀ ਹੈ। ਸੁਰੰਗ ਤੋੜ ਕੇ ਮੁੜ ਬਣਾਈ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ IKE ਅਤੇ IPsec ਨਵੀਂ ਕੁੰਜੀ ਨਾਲ ਸ਼ੁਰੂ ਤੋਂ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ। AWS ਦੱਸਦਾ ਹੈ ਕਿ ਰੁਕਾਵਟ ਕਈ ਮਿੰਟ ਚੱਲ ਸਕਦੀ ਹੈ, ਜੋ ਕਿਸੇ ਰਾਊਟਿੰਗ ਪ੍ਰੋਟੋਕਾਲ ਲਈ ਇਸ ਨੂੰ ਨੋਟਿਸ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਲੰਮਾ ਹੈ। ਉਸੇ ਕਨੈਕਸ਼ਨ ਦੀ ਦੂਜੀ ਸੁਰੰਗ ਨੂੰ ਇਹ ਕਾਲ ਨਹੀਂ ਛੂੰਹਦੀ।

ਕੁਝ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਣਨ ਯੋਗ ਦੂਜਾ ਪ੍ਰਭਾਵ ਹੈ। ਬਦਲਾਅ ਦਾ ਕੰਮ ਸੁਰੰਗ ਵਿਕਲਪਾਂ ਦਾ ਪੂਰਾ ਸਮੂਹ ਲੈਂਦਾ ਹੈ, ਇਸ ਲਈ ਤੁਸੀਂ ਜੋ ਖੇਤਰ ਛੱਡਦੇ ਹੋ ਉਹ ਆਪਣੇ ਡਿਫ਼ਾਲਟ ਮੁੱਲ ਨਾਲ ਵਾਪਸ ਲਿਖਿਆ ਜਾਂਦਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਪੜਾਅ 1 ਜਾਂ ਪੜਾਅ 2 ਦੀ ਉਮਰ, ਜਾਂ ਡੈੱਡ ਪੀਅਰ ਖੋਜ ਸੈਟਿੰਗਾਂ ਨੂੰ ਠੀਕ ਕੀਤਾ ਹੈ, ਤਾਂ ਮੌਜੂਦਾ ਮੁੱਲ ਉਸੇ ਬੇਨਤੀ ਵਿੱਚ ਭੇਜੋ ਜਾਂ ਬਾਅਦ ਵਿੱਚ ਉਨ੍ਹਾਂ ਨੂੰ ਬਹਾਲ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾਓ।

ਪਹਿਲਾਂ ਮੌਜੂਦਾ ਮੁੱਲ ਪੜ੍ਹੋ, ਫਿਰ ਇੱਕ ਖੇਤਰ ਬਦਲੋ। ਇਹੀ ਕ੍ਰਮ ਇਸ ਕੰਮ ਦਾ ਪੂਰਾ ਅਨੁਸ਼ਾਸਨ ਹੈ।

ਪਹਿਲਾਂ AWS ਸੁਰੰਗ ਨੂੰ ਸਹੀ ਸਾਥੀ ਨਾਲ ਮਿਲਾਓ

ਕੰਸੋਲ ਸੁਰੰਗਾਂ ਨੂੰ ਕ੍ਰਮ ਅਨੁਸਾਰ ਲੇਬਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡਾ ਯੰਤਰ ਉਹ ਲੇਬਲ ਨਹੀਂ ਵਰਤਦਾ। ਸੁਰੰਗ ਨੂੰ ਉਸ ਦੇ ਬਾਹਰੀ IP ਪਤੇ ਨਾਲ ਪਛਾਣੋ ਅਤੇ ਗਾਹਕ ਗੇਟਵੇ 'ਤੇ ਸਾਥੀ ਭਾਗ ਨਾਲ ਮਿਲਾਓ। ਸਥਾਨਕ ਸੰਰਚਨਾ ਵਿੱਚ ਸੁਰੰਗ 1 ਹੋਣਾ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਕਿ ਤੁਸੀਂ ਉਹ ਸੁਰੰਗ ਸੋਧ ਰਹੇ ਹੋ ਜਿਸ ਨੂੰ AWS ਸੁਰੰਗ 1 ਕਹਿੰਦਾ ਹੈ।

ਕਨੈਕਸ਼ਨ ਤੋਂ ਹੀ ਸ਼ੁਰੂ ਕਰੋ, ਜੋ ਦੋਵੇਂ ਸੁਰੰਗਾਂ ਅਤੇ ਹੁਣ ਹਰ ਇੱਕ ਕੋਲ ਮੌਜੂਦ ਕੁੰਜੀ ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

ਵਾਪਸ ਆਉਣ ਵਾਲੀ ਕੁੰਜੀ ਹੀ ਹੁਣ ਵਰਤੀ ਜਾ ਰਹੀ ਹੈ। ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਦੀ ਸਾਥੀ ਸੰਰਚਨਾ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਪਹਿਲਾਂ ਤੋਂ ਮੌਜੂਦ ਅਸੰਗਤੀ ਉਸ ਸੁਰੰਗ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ ਜੋ ਕਦੇ ਸਥਿਰ ਨਹੀਂ ਸੀ।

ਪਹਿਲਾਂ ਦੂਜੀ ਸੁਰੰਗ ਨੂੰ ਟ੍ਰੈਫਿਕ ਚੁੱਕਣ ਦਿਓ

ਇੱਕ ਕਨੈਕਸ਼ਨ ਵਿੱਚ ਦੋ ਸੁਰੰਗਾਂ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀਆਂ ਕਿ ਤੁਹਾਡੇ ਯੰਤਰ ਨੇ ਦੋਵੇਂ ਸੰਰਚਿਤ ਕੀਤੀਆਂ, ਦੋਵੇਂ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੇ ਪ੍ਰੀਫ਼ਿਕਸ ਘੋਸ਼ਿਤ ਕਰਦੀਆਂ ਹਨ, ਜਾਂ ਉਨ੍ਹਾਂ ਵਿਚਕਾਰ ਟ੍ਰੈਫਿਕ ਚੱਲਦਾ ਹੈ। ਬਦਲਵੀਂ ਸੁਰੰਗ ਦੀ ਗੱਲਬਾਤ, ਉਸ ਦੇ ਰਾਹ ਅਤੇ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ ਜਾਂਚੋ। BGP ਨਾਲ, ਜੀਵਤ ਗੁਆਂਢ ਲਾਹੇਵੰਦ ਸਬੂਤ ਹੈ ਪਰ ਪ੍ਰੀਫ਼ਿਕਸ ਦੀ ਪੁਸ਼ਟੀ ਦੇ ਬਰਾਬਰ ਨਹੀਂ। ਸਥਿਰ ਰਾਊਟਿੰਗ ਨਾਲ, ਗੇਟਵੇ ਰਾਹ ਕਿਵੇਂ ਚੁਣਦਾ ਹੈ ਅਤੇ ਪਸੰਦੀਦਾ ਰਾਹ ਗਾਇਬ ਹੋਣ 'ਤੇ ਕੀ ਕਰਦਾ ਹੈ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

ਜੇ ਬਦਲਵੀਂ ਸੁਰੰਗ ਕੰਮ ਦਾ ਭਾਰ ਚੁੱਕ ਨਹੀਂ ਸਕਦੀ, ਤਾਂ ਕੁੰਜੀ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਰੁਕਾਵਟ ਤੈਅ ਕਰੋ ਜਾਂ ਬਦਲਵੀਂ ਸੁਰੰਗ ਦੀ ਮੁਰੰਮਤ ਕਰੋ। ਕੰਸੋਲ ਸਫ਼ੇ 'ਤੇ ਸਥਿਤੀ ਦੀਵਾ ਨਿਰਵਿਘਨ ਸੇਵਾ ਦਾ ਵਾਅਦਾ ਨਹੀਂ ਹੈ।

ਇੱਕ ਸੁਰੰਗ ਘੁਮਾਓ, ਫਿਰ ਅਸਲ ਟ੍ਰੈਫਿਕ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ

ਬਦਲਵਾਂ ਰਾਹ ਸਾਬਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਕ੍ਰਮ ਛੋਟਾ ਹੈ। ਸੁਰੰਗ ਦਾ ਪਤਾ, ਉਸ ਦਾ ਸਾਥੀ ਅਤੇ ਗੈਰ-ਗੁਪਤ ਸੈਟਿੰਗਾਂ ਦਰਜ ਕਰੋ, ਅਤੇ ਗੇਟਵੇ ਵੱਲ ਪ੍ਰਬੰਧਨ ਰਾਹ ਰੱਖੋ ਜੋ ਉਸ ਸੁਰੰਗ 'ਤੇ ਨਿਰਭਰ ਨਾ ਹੋਵੇ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਤੋੜਨ ਵਾਲੇ ਹੋ।

  1. ਚੁਣੇ ਹੋਏ ਬਾਹਰੀ ਪਤੇ ਲਈ ਗਾਹਕ ਗੇਟਵੇ ਸਾਥੀ ਅੱਪਡੇਟ ਕਰੋ, ਜਾਂ ਬਦਲਾਅ ਨੂੰ ਇੰਝ ਤਿਆਰ ਕਰੋ ਕਿ ਉਹ API ਕਾਲ ਤੋਂ ਕੁਝ ਸਕਿੰਟਾਂ ਬਾਅਦ ਲਾਗੂ ਹੋਵੇ।
  2. ਨਵੀਂ ਕੁੰਜੀ ਨਾਲ ਮੌਜੂਦਾ ਉਮਰ ਅਤੇ DPD ਮੁੱਲਾਂ ਸਮੇਤ ਬਦਲਾਅ ਕਾਲ ਭੇਜੋ।
  3. IKE ਅਤੇ IPsec ਦੇ ਵਾਪਸ ਆਉਣ ਦੀ ਉਡੀਕ ਕਰੋ, ਫਿਰ ਰਾਹ ਅਤੇ ਲੋੜੀਂਦੇ ਪ੍ਰੀਫ਼ਿਕਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।
  4. ਉਸ ਸੁਰੰਗ ਰਾਹੀਂ ਪ੍ਰਤੀਨਿਧ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ ਭੇਜੋ ਅਤੇ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵੇਖੋ।

ਸਿਰੇ ਸਹਿਮਤ ਨਾ ਹੋਣ ਅਤੇ AWS ਬਦਲਾਅ ਲਾਗੂ ਕਰਦੇ ਸਮੇਂ ਸੁਰੰਗ ਵਰਤੋਂਯੋਗ ਨਹੀਂ ਹੁੰਦੀ, ਇਸ ਲਈ ਸਾਥੀ ਅੱਪਡੇਟ ਦੁਪਹਿਰ ਦੇ ਖਾਣੇ ਤੋਂ ਬਾਅਦ ਨਹੀਂ, ਤੁਰੰਤ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ। ਬਦਲੀ ਹੋਈ ਸੁਰੰਗ ਅਸਲ ਟ੍ਰੈਫਿਕ ਚੁੱਕੇ ਤਾਂ ਹੀ ਦੂਜੀ 'ਤੇ ਪ੍ਰਕਿਰਿਆ ਦੁਹਰਾਓ।

ਪਹਿਲੀ ਸੁਰੰਗ ਤੋਂ ਬਾਅਦ ਬਹਾਲੀ ਜਾਂ ਰਾਊਟਿੰਗ ਅਜੇ ਵੀ ਅਨਿਸ਼ਚਿਤ ਹੋਵੇ ਤਾਂ ਰੁਕੋ। ਅੱਧੀਆਂ ਚੱਲਦੀਆਂ ਦੋ ਸੁਰੰਗਾਂ ਉਸ ਇੱਕ ਨਾਲੋਂ ਮਾੜੀਆਂ ਹਨ ਜਿਸ ਬਾਰੇ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਉਹ ਚੱਲਦੀ ਹੈ।

ਬਹਾਲੀ ਅਟਕੇ ਤਾਂ IKE ਪਾਸਾ ਪੜ੍ਹੋ

ਦੋਵੇਂ ਸਿਰਿਆਂ ਕੋਲ ਨਵੀਂ ਕੁੰਜੀ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵੀ ਥੱਲੇ ਰਹਿਣ ਵਾਲੀ ਸੁਰੰਗ ਆਮ ਤੌਰ 'ਤੇ ਨੀਤੀ ਦੀ ਅਸੰਗਤੀ ਹੁੰਦੀ ਹੈ ਜਿਸ ਨੂੰ ਘੁਮਾਉਣ ਨੇ ਖੋਲ੍ਹਿਆ, ਬਣਾਇਆ ਨਹੀਂ। ਪ੍ਰਸਤਾਵ, ਸਾਥੀ ਵੱਲੋਂ ਭੇਜੀ ਪਛਾਣ ਅਤੇ ਟ੍ਰੈਫਿਕ ਚੋਣਕਾਰ ਸਾਰਿਆਂ ਨੂੰ AWS ਪਾਸੇ ਨਾਲ ਸਹਿਮਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਸਥਾਪਿਤ ਸੁਰੰਗ ਵਿੱਚ ਟਿਕਿਆ ਮੁੱਲ ਨਵੀਂ ਗੱਲਬਾਤ ਦੌਰਾਨ ਫਿਰ ਵੀ ਰੱਦ ਹੋ ਸਕਦਾ ਹੈ। ਦੂਜੀ ਵਾਰ ਕੁੰਜੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਗੱਲਬਾਤ ਦੀ ਸਥਿਤੀ ਅਤੇ ਉਸ ਨਾਲ ਜੁੜਿਆ ਸੁਨੇਹਾ ਪੜ੍ਹੋ।

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

ਜੇ ਬਦਲਾਅ ਵਾਪਸ ਲੈਣਾ ਪਵੇ, ਤਾਂ ਪੁਰਾਣੀ ਕੁੰਜੀ ਸਿਰਫ਼ ਇਸ ਲਈ ਬਹਾਲ ਨਾ ਕਰੋ ਕਿ ਉਹ ਪਹਿਲਾਂ ਚੱਲਦੀ ਸੀ। ਸਮਝੌਤੇ ਵਾਲੀ ਕੁੰਜੀ ਨੂੰ ਸਮਝੌਤੇ ਵਾਲੀ ਮੰਨੋ ਅਤੇ ਇਸ ਦੀ ਥਾਂ ਗੱਲਬਾਤ ਸੁਧਾਰੋ। ਦੋਵੇਂ ਸੁਰੰਗਾਂ ਦੀ ਪੁਸ਼ਟੀ ਅਤੇ ਹਰ ਸਾਥੀ ਕਿਹੜਾ ਮੁੱਲ ਰੱਖਦਾ ਹੈ ਦਰਜ ਕਰਨ ਲਈ ਗੁਪਤ-ਸੂਚੀ ਅੱਪਡੇਟ ਕਰਕੇ ਪੂਰਾ ਕਰੋ, ਅਤੇ AWS ਸੁਰੰਗ-ਵਿਕਲਪ ਦਸਤਾਵੇਜ਼ ਰਨਬੁੱਕ ਦੇ ਕੋਲ ਰੱਖੋ।

ਸੰਬੰਧਿਤ ਲੇਖ