Kako pripraviti AWS, da zažene tunel Site-to-Site VPN
Dejanje ob zagonu in dejanje ob časovni omejitvi DPD odgovarjata na različni vprašanji. Nastavite tisto, ki AWS prisili k začetku, nato preverite naslov partnerja in pot aplikacije.
Privzeto AWS Site-to-Site VPN čaka, da customer gateway začne pogajanja. Ta privzeta vrednost je nastavitev, ne zakon, in nastavitev se imenuje Startup action. Preden posežete po njej, ločite dve vprašanji, ki se nenehno mešata: kdo postavi tunel in ali imajo paketi, ki vas zanimajo, pot skozi njega. Samo prvo je med možnostmi tunela.
Ločite dejanje ob zagonu od dejanja ob časovni omejitvi DPD
Dve možnosti na tunel upravljata dva različna dogodka, in nastavitev ene ne pove ničesar o drugi.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Če mora AWS postaviti nov ali spremenjen tunel, izberite start. Če mora AWS po časovni omejitvi DPD znova začeti tudi pogajanja, posebej nastavite restart za ta dogodek. Nobena od možnosti ni politika ponovnih poskusov aplikacije in nobena ni interval zamenjave ključa: DPD preveri, ali je partner živ, medtem ko zamenjava ključa nadomesti security associations na aktivnem tunelu.
Aplikacija, ki ji poteče čas, medtem ko tunel še vedno poroča up, ima težavo na podatkovni poti. Skrajšanje časovnika DPD tega ne bo odpravilo in lahko doda nemir, ki ga boste morali pozneje razložiti.
Preverite, ali ima AWS kam poslati pogajanja
Začetek s strani AWS deluje samo z IKEv2, in AWS potrebuje javni naslov customer gateway, da ve, kam poslati predlog. Primer, ki boli, je vir customer gateway, overjen s potrdilom in ustvarjen brez naslova: dokumentacija AWS opisuje ustvarjanje novega vira customer gateway z naslovom in nato spreminjanje povezave VPN, da kaže nanj.
Potrdilo dokazuje, kdo je partner. Ne pove AWS, kje je partner, in to sta dve različni zahtevi. Zato je rešitev nov vir customer gateway in ne novo potrdilo. Zamenjava potrdila pusti AWS z isto manjkajočo destinacijo.
Če je customer gateway za NAT, AWS potrebuje tudi nastavljen responder identity, IDr, da se identiteta partnerja ujema s tem, kar naprava pričakuje. Potrdite to vrednost in pot skozi požarni zid, ki prepušča promet IKE, preden krivite možnost, ki ste jo pravkar spremenili. Izbira start ne more prisiliti nedosegljivega ali napačno prepoznanega partnerja, da sprejme predlog.
Uporabite spremembo na enem tunelu in pričakujte prekinitev
Povezava VPN ima dva tunela z neodvisnimi možnostmi, zato po zunanjem naslovu potrdite, katerega urejate. AWS dovoljuje spreminjanje enega tunela naenkrat, povezljivost prek izbranega tunela pa je lahko prekinjena več minut.
- Izberite povezavo Site-to-Site VPN in odprite Modify VPN tunnel options.
- Izberite tunel po zunanjem naslovu IP in potrdite njegovo različico IKE ter vir customer gateway.
- Nastavite dejanji ob zagonu in DPD, ki ju resnično želite, nato shranite v oknu, ki ga nadzorujete.
- Potrdite, da se spremenjeni tunel vzpostavi, in pred naslednjo spremembo preverite drugi tunel ter usmerjanje.
Eno vedenje si pred vzdrževanjem zasluži pozornost. Ko je začetek s strani AWS vklopljen, časovne omejitve ni: AWS poskuša, dokler se tunel ne dvigne, in znova začne, ko customer gateway pošlje sporočilo delete-SA. Če partnerja namerno ugasnete, bo AWS še naprej trkal, dnevniki partnerja pa bodo to pokazali.
Preverite pot aplikacije, ne le stanje tunela
Tunel, ki poroča up, ni isto kot delujoča zahteva. Funkcija Lambda, pripeta na VPC, še vedno potrebuje subnet pot do predpone stranke, pravila security group in network ACL, ki promet dovoljujejo, razreševanje imen, ki vrne pravi naslov, in povratno pot na strani stranke.
Preizkusite enkrat z resnično zahtevo iz konteksta aplikacije, nato pa ob neuspehu preberite flow logs. Promet keepalive je legitimna možnost, ko je začetek s strani AWS izklopljen in nedejaven tunel potrebuje pakete, da ostane pokonci, vendar bi morala biti to odločitev o spremljanju, ki jo znate poimenovati, ne nerazložena ping zanka, pritrjena na funkcijo.
Najprej izberite, kdo postavi tunel, nato diagnosticirajte preostalo napako na njeni lastni plasti. Dokumentacija AWS o začetku pokriva zahteve glede naslova, identitete in ponovnih poskusov podrobneje kot namigi v konzoli.