Kako natjerati AWS da pokrene Site-to-Site VPN tunel
Radnja pokretanja i radnja DPD tajmauta odgovaraju na razlicita pitanja. Postavite onu koja tjera AWS da započne, zatim provjerite adresu partnera i rutu aplikacije.
Po zadanom, AWS Site-to-Site VPN čeka da customer gateway započne pregovaranje. Taj zadani izbor je postavka, a ne zakon, i zove se Startup action. Prije nego što posegnete za njom, razdvojite dva pitanja koja se stalno spajaju: ko uspostavlja tunel i imaju li paketi do kojih vam je stalo rutu kroz njega. Samo prvo pitanje živi u opcijama tunela.
Razdvojite radnju pokretanja od radnje DPD tajmauta
Dvije opcije po tunelu upravljaju dvama različitim događajima, a postavljanje jedne ne govori ništa o drugoj.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ako AWS treba podići novi ili izmijenjeni tunel, odaberite start. Ako AWS treba i ponovno pokrenuti pregovaranje nakon DPD tajmauta, posebno konfigurirajte restart za taj događaj. Nijedna opcija nije politika ponovnih pokušaja aplikacije i nijedna nije interval zamjene ključa: DPD provjerava je li partner živ, dok zamjena ključa mijenja security associations na aktivnom tunelu.
Aplikacija koja dobije tajmaut dok tunel još prijavljuje up ima problem s putanjom podataka. Skraćivanje DPD timera to neće popraviti i može dodati nemir koji ćete kasnije morati objašnjavati.
Provjerite da AWS ima kamo poslati pregovaranje
Pokretanje s AWS strane moguće je samo s IKEv2, a AWS treba javnu adresu customer gatewaya da bi znao kamo poslati prijedlog. Slučaj koji najviše boli je resurs customer gatewaya autentificiran certifikatom, stvoren bez adrese: AWS dokumentacija opisuje stvaranje novog resursa customer gatewaya s adresom i zatim izmjenu VPN veze da pokazuje na njega.
Certifikat dokazuje ko je partner. On ne govori AWS-u gdje je partner, a to su dva različita zahtjeva. Zato je rješenje novi resurs customer gatewaya, a ne novi certifikat. Zamjena certifikata ostavlja AWS s istim odsutnim odredištem.
Ako customer gateway stoji iza NAT-a, AWS također treba konfigurirani responder identity, IDr, kako bi se identitet partnera podudarao s onim što uređaj očekuje. Potvrdite tu vrijednost i put kroz vatrozid koji propušta IKE promet prije nego što okrivite opciju koju ste upravo promijenili. Odabir start ne može natjerati nedostupnog ili pogrešno identificiranog partnera da prihvati prijedlog.
Primijenite promjenu na jedan tunel i očekujte prekid
VPN veza ima dva tunela s neovisnim opcijama, pa potvrdite koji uređujete po njegovoj vanjskoj adresi. AWS dopušta izmjenu jednog tunela odjednom, a povezanost preko odabranog tunela može biti prekinuta nekoliko minuta.
- Odaberite vezu Site-to-Site VPN i otvorite Modify VPN tunnel options.
- Odaberite tunel po vanjskoj IP adresi i potvrdite njegovu IKE verziju i resurs customer gatewaya.
- Postavite radnje pokretanja i DPD koje doista želite, pa spremite tijekom razdoblja koje kontrolirate.
- Potvrdite da se izmijenjeni tunel uspostavlja i provjerite drugi tunel i usmjeravanje prije sljedeće promjene.
Jedno ponašanje zaslužuje pozornost prije održavanja. Kad je AWS pokretanje uključeno, nema tajmauta: AWS pokušava dok se tunel ne podigne i ponovno započinje kad customer gateway pošalje poruku delete-SA. Ako partnera namjerno ugasite, AWS će nastaviti kucati, a partnerovi zapisi će to pokazati.
Provjerite putanju aplikacije, ne samo stanje tunela
Tunel koji prijavljuje up nije isto što i zahtjev koji radi. Lambda funkcija povezana s VPC-om i dalje treba subnet rutu prema prefiksu klijenta, pravila security groupa i network ACL-a koja dopuštaju promet, razrješavanje imena koje vraća ispravnu adresu i povratni put na strani klijenta.
Testirajte jednom pravim zahtjevom iz konteksta aplikacije, pa pročitajte flow logs ako ne uspije. Keepalive promet je legitimna opcija kad je AWS pokretanje isključeno i mirni tunel treba pakete da bi ostao podignut, ali to mora biti odluka o nadzoru koju možete imenovati, a ne neobjašnjena ping petlja pričvršćena na funkciju.
Prvo odaberite ko uspostavlja tunel, pa dijagnosticirajte preostali kvar na njegovu vlastitom sloju. AWS dokumentacija o pokretanju pokriva zahtjeve za adresu, identitet i ponovne pokušaje detaljnije nego savjeti u konzoli.