Granice Cloud VPN-a koje ne možete podesiti: IKE životni vijek i NAT peera

Dajte udaljenom uređaju životni vijek faze 1 od 24 sata i tunel Cloud VPN-a ostaje pao, iako je sve na Googleovoj strani ispravno konfigurisano. Peer predlaže vrijednost koju odgovarač neće prihvatiti, pa pregovor ili potpuno propada ili se beskonačno ponovo pokreće. Cloud VPN ograničava fazu 1 na 36,000 sekundi, deset sati, a taj limit nije postavka koju možete podići. Promjena pripada udaljenom uređaju.

Peer pita, odgovarač odlučuje

IKE je vježba usklađivanja između dva skupa prijedloga. Tunel nastaje samo tamo gdje se skupovi preklapaju unutar granica koje odgovarač prihvata, i zato životni vijek izvan raspona ne stvara nikakav djelimični tunel. Uobičajena greška je tretirati konfiguraciju peera kao listu želja, a ne kao prijedlog. Prazan presjek ostavlja tunel palim, koliko god su usmjeravanje i selektori ispravni.

Pročitajte vlastito stanje tunela prije otvaranja slučaja, jer detaljni status obično imenuje fazu koja je propala:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Uporedite ono što se vrati s podržanim skupom za vaš tip pristupnika i verziju IKE-a, i zapišite oba selektora saobraćaja dok ste tamo. Nesklad selektora daje isti simptom palog tunela kao nesklad algoritma, a za razliku od algoritma to je vaše da popravite.

36,000 sekundi je gornja granica

Faza 1 se zaustavlja na 36,000 sekundi. Uređaj podešen na 86,400 traži nešto s čim se odgovarač nikada neće složiti, a ponovni pokušaj ne mijenja njegovo mišljenje. Vratite udaljeni prijedlog unutar raspona i ista konfiguracija se uspostavlja; asimetrija je cijela lekcija, jer svoju vrijednost možete sniziti, a Googleovu ne možete podići.

Zapišite odabranu vrijednost u projektne bilješke. Inače sljedeći inženjer ponovi eksperiment od 24 sata i dođe do istog zida.

Podržani skup se objavljuje po tipu pristupnika i verziji IKE-a u pregledu Cloud VPN-a, pa čitajte dio za svoju topologiju, a ne opći IKE vodič.

Tunel koji pada po rasporedu

Faza 2 se ponaša drukčije: kada se dva kraja ne slažu, obnavljanje ključeva prati kraći interval. Peer koji nesklad smatra fatalnim umjesto toga obara tunel, pa jedan nesklad može izgledati kao dva nepovezana kvara. Pazite na ritam obnavljanja ključeva, ne samo na prvo povezivanje. Tunel koji se podigne i potom pada u redovnom taktu češće je nesklad životnog vijeka nego defekt usmjeravanja.

Povežite te vremenske oznake pada s vlastitim zapisima peera prije bilo kakve izmjene, jer promjena selektora ili rute može oponašati isti ritam. Ako se takt poklapa s tajmerom faze 2, uzrok je nađen bez diranja prijedloga.

Skupovi dolaze iz tipa pristupnika

Skupovi šifriranja i integriteta nisu profil po tunelu koji uređujete kako vam strongSwan dopušta. Birate ih po tipu pristupnika i verziji IKE-a, a traženje profila koji ne postoji gubi jedno poslijepodne.

Stari uređaj koji ne nudi ništa unutar podržanog skupa ostavlja dva poštena puta: zamijenite uređaj ili završite na softverskom pristupniku koji kontrolišete i odatle usmjerite u VPC. Sve ostalo je zaobilazno rješenje koje pada na sljedećem pregledu.

Jedna vanjska adresa po uređaju

Vanjska adresa peera mora se preslikavati jedan-na-jedan na njegovu unutrašnju adresu. Preopterećen PAT bazen ne može raditi, jer nekoliko domaćina iza jedne javne adrese ne daje odgovaraču način da ih razdvoji. Gdje nekoliko domaćina mora dijeliti adresu, tunel mora završiti negdje što ih može razlikovati.

Držite i tu vanjsku adresu stabilnom. Premjestite uređaj iza drugog NAT-a i veza se prekida iako se svaki prijedlog još uvijek poklapa. Vrijedi zapisati koje su vrijednosti Googleove, a koje vaše: životni vijekovi, skupovi i NAT jedan-na-jedan fiksni su na njihovoj strani, dok su prijedlozi, selektori, usmjeravanje i BGP prioriteti vaši.