Ako prinútiť AWS spustiť tunel Site-to-Site VPN
Akcia pri spustení a akcia pri časovom limite DPD odpovedajú na rôzne otázky. Nastavte tú, ktorá prinúti AWS iniciovať, potom skontrolujte adresu protistrany a trasu aplikácie.
Predvolene AWS Site-to-Site VPN čaká, kým customer gateway začne vyjednávanie. Toto predvolené nastavenie je voľba, nie zákon, a volá sa Startup action. Skôr než po ňom siahneme, oddeľte dve otázky, ktoré sa neustále miešajú: kto tunel vytvára a či pakety, na ktorých vám záleží, majú cez neho trasu. Iba prvá je v možnostiach tunela.
Oddeľte akciu pri spustení od akcie pri časovom limite DPD
Dve možnosti pre každý tunel riadia dva rôzne javy a nastavenie jednej nič nehovorí o druhej.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ak má AWS vytvoriť nový alebo zmenený tunel, zvoľte start. Ak má AWS tiež po časovom limite DPD znovu začať vyjednávanie, nastavte restart pre tento jav zvlášť. Ani jedna možnosť nie je zásadou opakovania pokusov aplikácie a ani jedna nie je intervalom výmeny kľúčov: DPD kontroluje, či je protistrana živá, zatiaľ čo výmena kľúčov nahrádza security associations na bežiacom tuneli.
Aplikácia, ktorej vyprší čas, kým tunel stále hlási up, má problém s dátovou cestou. Skrátenie časovača DPD to neopraví a môže pridať rozruch, ktorý budete musieť neskôr vysvetliť.
Skontrolujte, že AWS má kam vyjednávanie poslať
Iniciovanie zo strany AWS funguje len s IKEv2 a AWS potrebuje verejnú adresu customer gateway, aby vedela, kam poslať návrh. Prípad, ktorý bolí, je prostriedok customer gateway overovaný certifikátom vytvorený bez adresy: dokumentácia AWS opisuje vytvorenie nového prostriedku customer gateway s adresou a potom úpravu pripojenia VPN, aby naň ukazovalo.
Certifikát dokazuje, kto je protistrana. Nehovorí AWS, kde protistrana je, a to sú dve rôzne požiadavky. Preto je riešením nový prostriedok customer gateway, nie nový certifikát. Výmena certifikátu nechá AWS s rovnakým chýbajúcim cieľom.
Ak customer gateway stojí za NAT, AWS potrebuje aj nakonfigurovaný responder identity, IDr, aby identita protistrany zodpovedala tomu, čo zariadenie očakáva. Potvrďte túto hodnotu aj cestu firewallom, ktorá prepúšťa prevádzku IKE, skôr než obviníte možnosť, ktorú ste práve zmenili. Voľba start nemôže prinútiť nedostupnú alebo nesprávne identifikovanú protistranu prijať návrh.
Použite zmenu na jeden tunel a očakávajte prerušenie
Pripojenie VPN má dva tunely s nezávislými možnosťami, takže si podľa vonkajšej adresy potvrďte, ktorý upravujete. AWS umožňuje meniť jeden tunel naraz a konektivita cez vybraný tunel môže byť prerušená na niekoľko minút.
- Vyberte pripojenie Site-to-Site VPN a otvorte Modify VPN tunnel options.
- Vyberte tunel podľa vonkajšej IP adresy a potvrďte jeho verziu IKE a prostriedok customer gateway.
- Nastavte akcie spustenia a DPD, ktoré skutočne chcete, a potom uložte v okne, ktoré ovládate.
- Potvrďte, že upravený tunel sa nadviaže, a pred ďalšou zmenou skontrolujte druhý tunel a smerovanie.
Jedno správanie si pred údržbou zaslúži pozornosť. Keď je iniciovanie AWS zapnuté, žiadny časový limit neexistuje: AWS skúša ďalej, kým tunel nevstane, a znovu iniciuje, keď customer gateway pošle správu delete-SA. Ak protistranu úmyselne vypnete, AWS bude ďalej klopať a v záznamoch protistrany to bude vidieť.
Overte cestu aplikácie, nielen stav tunela
Tunel hlásiaci up nie je to isté ako fungujúca požiadavka. Funkcia Lambda pripojená k VPC stále potrebuje subnet trasu k prefixu zákazníka, pravidlá security group a network ACL, ktoré prevádzku povoľujú, preklad mien, ktorý vracia správnu adresu, a spätnú cestu na strane zákazníka.
Otestujte raz skutočnou požiadavkou z kontextu aplikácie a ak zlyhá, čítajte flow logs. Prevádzka keepalive je legitímna voľba, keď je iniciovanie AWS vypnuté a nečinný tunel potrebuje pakety, aby zostal hore, ale malo by to byť rozhodnutie o monitorovaní, ktoré dokážete pomenovať, nie nevysvetlená ping slučka priskrutkovaná k funkcii.
Najprv zvoľte, kto tunel vytvára, a potom diagnostikujte zvyšné zlyhanie na jeho vlastnej vrstve. Dokumentácia AWS k iniciovaniu pokrýva požiadavky na adresu, identitu a opakovanie pokusov podrobnejšie než nápisy v konzole.