Cum faceți ca AWS să pornească un tunel Site-to-Site VPN
Acțiunea de pornire și acțiunea de timeout DPD răspund la întrebări diferite. Setați-o pe cea care face AWS să inițieze, apoi verificați adresa partenerului și ruta aplicației.
În mod implicit, o VPN Site-to-Site AWS așteaptă ca customer gateway să înceapă negocierea. Acea valoare implicită este o setare, nu o lege, iar setarea se numește Startup action. Înainte de a apela la ea, separați două întrebări care se amestecă constant: cine stabilește tunelul și dacă pachetele care vă interesează au o rută prin el. Doar prima se află în opțiunile tunelului.
Separați acțiunea de pornire de acțiunea de timeout DPD
Două opțiuni pe tunel guvernează două evenimente diferite, iar setarea uneia nu spune nimic despre cealaltă.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Dacă AWS trebuie să ridice un tunel nou sau modificat, alegeți start. Dacă AWS trebuie să reia și negocierea după un timeout DPD, configurați restart pentru acel eveniment separat. Niciuna dintre opțiuni nu este o politică de reîncercare a aplicației și niciuna nu este un interval de schimbare a cheii: DPD verifică dacă partenerul este viu, în timp ce schimbarea cheii înlocuiește security associations pe un tunel activ.
O aplicație care expiră în timp ce tunelul încă raportează up are o problemă pe calea datelor. Scurtarea timerului DPD nu o va rezolva și poate adăuga agitație pe care va trebui să o explicați mai târziu.
Verificați că AWS are unde să trimită negocierea
Inițierea din partea AWS funcționează doar cu IKEv2, iar AWS are nevoie de adresa publică a customer gateway pentru a ști unde să trimită propunerea. Cazul care doare este o resursă customer gateway autentificată prin certificat, creată fără adresă: documentația AWS descrie crearea unei resurse customer gateway noi cu adresa și apoi modificarea conexiunii VPN pentru a indica spre ea.
Un certificat dovedește cine este partenerul. Nu îi spune AWS unde se află partenerul, iar acestea sunt două cerințe diferite. De aceea soluția este o resursă customer gateway nouă, nu un certificat nou. Înlocuirea certificatului lasă AWS cu aceeași destinație lipsă.
Dacă customer gateway se află în spatele NAT, AWS are nevoie și de un responder identity configurat, IDr, astfel încât identitatea partenerului să corespundă cu ce așteaptă dispozitivul. Confirmați acea valoare și calea prin firewall care admite trafic IKE înainte de a da vina pe opțiunea pe care tocmai ați schimbat-o. Alegerea start nu poate face un partener inaccesibil sau identificat greșit să accepte o propunere.
Aplicați schimbarea la un singur tunel și așteptați-vă la o întrerupere
O conexiune VPN are două tuneluri cu opțiuni independente, așa că stabiliți după adresa exterioară pe care îl editați. AWS permite modificarea unui singur tunel odată, iar conectivitatea prin tunelul ales poate fi întreruptă câteva minute.
- Selectați conexiunea Site-to-Site VPN și deschideți Modify VPN tunnel options.
- Alegeți tunelul după adresa IP exterioară și confirmați versiunea IKE și resursa customer gateway.
- Setați acțiunile de pornire și DPD pe care le doriți cu adevărat, apoi salvați într-o fereastră pe care o controlați.
- Confirmați că tunelul modificat se stabilește și verificați celălalt tunel și rutarea înainte de următoarea schimbare.
Un comportament merită atenție înainte de mentenanță. Cu inițierea AWS activată nu există timeout: AWS încearcă până când tunelul urcă și reia când customer gateway trimite un mesaj delete-SA. Dacă opriți partenerul intenționat, AWS va continua să bată, iar jurnalele partenerului vor arăta asta.
Verificați calea aplicației, nu doar starea tunelului
Un tunel care raportează up nu este același lucru cu o cerere care funcționează. O funcție Lambda atașată la un VPC are în continuare nevoie de o rută subnet către prefixul clientului, de reguli security group și network ACL care permit traficul, de rezolvare de nume care returnează adresa corectă și de o cale de întoarcere pe partea clientului.
Testați o dată cu o cerere reală din contextul aplicației, apoi citiți flow logs dacă eșuează. Traficul keepalive este o opțiune legitimă când inițierea AWS este oprită și un tunel inactiv are nevoie de pachete ca să rămână sus, dar ar trebui să fie o decizie de monitorizare pe care o puteți numi, nu o buclă ping neexplicată prinsă de o funcție.
Alegeți mai întâi cine stabilește tunelul, apoi diagnosticați restul defecțiunii la propriul nivel. Documentația AWS despre inițiere acoperă cerințele de adresă, identitate și reîncercare mai detaliat decât indiciile din consolă.