Wareejinta PSK ee AWS VPN: kee tunnel ayaa dhaca, goorma

Tunnel-ku waxa uu dhacaa isla markii labada daraf ay isku khilaafaan furaha hore loo wadaagay, oo waxa uu hoos ahaanayaa ilaa labada dhinac ay qaataan qiimaha cusub. Qaybtaas waa la filayay: AWS waxa ay u arkaa isbeddelka inuu yahay hakad ku yimid tunnel-ka la doortay, oo saaxiibku ma dhammeeyo IKE ilaa furayaashu kala duwan yihiin. Waxa dadka yaabiya waa qaybta labaad. Tunnel-ka kale isagu ma qaato taraafikada, haddii aadan hubin inuu qaadi karo. Sidan u wareeji oo hakadku wuxuu ku sii jiraa hal tunnel gudihiisa.

Waxa dhab ahaan dhaca marka furaha isbeddelo

ModifyVpnTunnelOptions waxa uu dib u qoraa xulashooyinka hal tunnel, oo lagu garto cinwaanka IP-ga dibadda. Tunnel-ka waa la dumiyaa oo dib ayaa loo dhisaa, sidaas darteed IKE iyo IPsec waxa ay ka wada hadlaan bilowga furaha cusub. AWS waxa ay sheegtay in hakadku uu qaadan karo dhowr daqiiqo, taas oo ku filan in borotokoolka marin-u-jiidku uu ogaado. Tunnel-ka kale ee isla xidhiidhka laguma taabto wicitaanka.

Waxa jira saameyn labaad oo mudan in la ogaado ka hor inta aanad wax dirin. Hawlgalka isbeddelku waxa uu qaataa xulashooyinka tunnel-ka oo dhan, sidaas darteed goobta aad ka tagto waxa lagu dib qoraa qiimaheeda caadiga ah. Haddii aad hagaajisay cimriga wejiga 1 ama wejiga 2, ama dejinta ogaanshaha saaxiibka dhintay, soo gudbi qiimaha hadda jira isla codsigaas ama qorshee inaad dib u soo celiso ka dib.

Marka hore akhri qiimaha hadda jira, ka dibna beddel hal goob. Nidaamkaas waa edbinta oo dhan ee hawshan.

Marka hore ku habee tunnel-ka AWS saaxiibka saxda ah

Konsolku waxa uu tunnel-yada ku calaamadeeyaa sida ay u kala horreeyaan, qalabkaaguna ma isticmaalo calaamadaas. Ku aqoonso tunnel-ka cinwaanka IP-ga dibadda oo ku habee qaybta saaxiibka ee albaabka macmiilka. Tunnel 1 ee habaynta gudaha ma aha caddayn inaad tafatirto tunnel-ka uu AWS u yaqaan tunnel 1.

Ka bilow xidhiidhka laftiisa, kaas oo taxaya labada tunnel iyo furaha mid kasta uu hadda haysto:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Furaha soo noqda waa kan hadda la isticmaalayo. La barbardhig habaynta saaxiibka ka hor inta aanad wax beddelin, maxaa yeelay ismaandhaaf hore u jiray waxa uu sharraxayaa tunnel aan waligiis xasilloonayn.

Marka hore u oggolow tunnel-ka kale inuu qaado taraafikada

Laba tunnel oo hal xidhiidh ku jira ma caddeeyaan in qalabkaagu labadaba habaystay, in labaduba ku dhawaaqaan prefix-yada aad u baahan tahay, ama in taraafikadu dhex maraan. Hubi wada-hadalka tunnel-ka beddelka, marinnadiisa iyo qulqulka codsiga dhabta ah labada jiho. BGP-la, isku-xidhnaan nool waa caddayn faa'iido leh laakiin ma aha isku mid ah xaqiijinta prefix-yada. Marin-u-jiidka taagan, xaqiiji sida albaabku u doorto wadada iyo waxa uu sameeyo marka tan la doorbiday ay libdhdo.

Haddii beddelku aanu qaadi karin culayska shaqada, jadwal hakadka ama hagaaji tunnel-ka beddelka ka hor inta aanad taaban furaha. Iftiinka xaaladda ee bogga konsolka ma aha ballan adeeg aan hakad lahayn.

Wareeji hal tunnel, ka dibna ku xaqiiji taraafikada dhabta ah

Marka wadada beddelka la caddeeyo, nidaamku waa gaaban yahay. Qor cinwaanka tunnel-ka, saaxiibkiisa iyo dejinta aan sirta ahayn, oo hayso waddo maamul oo xagga albaabka ah oo aan ku tiirsanayn tunnel-ka aad hadda jebinayso.

1. Cusboonaysii saaxiibka albaabka macmiilka ee cinwaanka dibadda la doortay, ama diyaari isbeddelka si uu dhaqan galo dhowr ilbiriqsi ka dib wicitaanka API.
2. Dir wicitaanka isbeddelka furaha cusub iyo cimriga hadda jira iyo qiimaha DPD.
3. Sug ilaa IKE iyo IPsec ay soo noqdaan, ka dibna xaqiiji marinnada iyo prefix-yada loo baahan yahay.
4. Mari qulqulka codsi matalaad ah tunnel-kaas oo daawasho labada jiho.

Tunnel-ku waa mid aan la isticmaali karin inta darafyadu isku khilaafsan yihiin iyo inta AWS uu isbeddelka ku dabaqayo, sidaas darteed cusboonaysiinta saaxiibka waa in ay isla markiiba dabooshaa ee ma aha qadada ka dib. Kaliya marka tunnel-ka la beddelay uu qaado taraafiko dhab ah waa inaad ku celiso hab-raaca kan kale.

Iso jooji haddii soo-kabashada ama marin-u-jiidka ay wali aan hubaal ahayn tunnel-ka koowaad ka dib. Laba tunnel oo badh shaqeeya ayaa ka xun mid aad ogtahay inuu shaqeeyo.

Marka soo-kabashadu istaagto, akhri dhinaca IKE

Tunnel-ka hoos sii jira ka dib marka labada daraf ay haystaan furaha cusub inta badan waa ismaandhaaf siyaasadeed oo wareejintu daaha ka qaaday ee aanay abuurin. Soo-jeedinta, aqoonsiga uu saaxiibku soo diro iyo xulayaasha taraafikada dhammaantood waa in ay la jaanqaadaan dhinaca AWS, qiimaha ka badbaaday tunnel la aasaasay weli waa la diidi karaa inta lagu jiro wada-hadal cusub. Akhri xaaladda wada-hadalka iyo fariinta ku lifaaqan ka hor inta aanad furaha marka labaad beddelin.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Haddii isbeddelka dib loo noqdo, ha soo celin furaha hore kaliya sababtoo ah waxa uu hore u shaqeeyay. U qaado fure la waxyeelleeyay mid la waxyeelleeyay oo beddelka ku hagaaji wada-hadalka. Ku dhammee labada tunnel oo la xaqiijiyay iyo liiska sirta oo la cusboonaysiiyay si saaxiib kastaa u diiwaangeliyo qiimaha uu haysto, oo hayso dukumentiga xulashooyinka tunnel-ka AWS agtiisa runbook-ga.