Si ta bëni AWS të nisë një tunel Site-to-Site VPN
Veprimi i nisjes dhe veprimi i afatit DPD u përgjigjen pyetjeve të ndryshme. Vendosni atë që e bën AWS të nisë, pastaj kontrolloni adresën e palës dhe rrugën e aplikacionit.
Si parazgjedhje, një AWS Site-to-Site VPN pret që customer gateway të fillojë negociatimin. Ajo parazgjedhje është një cilësim, jo ligj, dhe cilësimi quhet Startup action. Përpara se t'i drejtoheni, ndani dy pyetje që ngatërrohen vazhdimisht: kush e ndërton tunelin, dhe nëse paketat që ju interesojnë kanë një rrugë përmes tij. Vetëm e para gjendet në opsionet e tunelit.
Ndani veprimin e nisjes nga veprimi i afatit DPD
Dy opsione për tunel drejtojnë dy ngjarje të ndryshme, dhe vendosja e njërës nuk thotë asgjë për tjetrën.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Nëse AWS duhet të ngrejë një tunel të ri ose të ndryshuar, zgjidhni start. Nëse AWS duhet të rinisë edhe negociatimin pas një afati DPD, konfiguroni restart për atë ngjarje veçmas. Asnjëri opsion nuk është politikë e ripërpjekjeve të aplikacionit, dhe asnjëri nuk është interval i ndryshimit të çelësit: DPD kontrollon nëse pala është gjallë, ndërsa ndryshimi i çelësit zëvendëson security associations në një tunel aktiv.
Një aplikacion që skadon ndërsa tuneli ende raporton up ka një problem në rrugën e të dhënave. Shkurtimi i kohëmatësit DPD nuk e rregullon dhe mund të shtojë trazira që do t'ju duhet t'i shpjegoni më vonë.
Kontrolloni që AWS ka nga ta dërgojë negociatimin
Nisja nga ana e AWS funksionon vetëm me IKEv2, dhe AWS ka nevojë për adresën publike të customer gateway për të ditur ku ta dërgojë propozimin. Rasti që të dhemb është një burim customer gateway i vërtetuar me certifikatë i krijuar pa adresë: dokumentacioni i AWS përshkruan krijimin e një burimi të ri customer gateway me adresën dhe më pas ndryshimin e lidhjes VPN që të tregojë drejt tij.
Një certifikatë provon kush është pala. Nuk i thotë AWS ku është pala, dhe këto janë dy kërkesa të ndryshme. Prandaj zgjidhja është një burim i ri customer gateway dhe jo një certifikatë e re. Zëvendësimi i certifikatës e lë AWS me të njëjtin destinacion që mungon.
Nëse customer gateway qëndron pas NAT, AWS ka nevojë edhe për një responder identity të konfiguruar, IDr, që identiteti i palës të përputhet me atë që pret pajisja. Konfirmoni atë vlerë dhe rrugën e firewall-it që lejon trafikun IKE përpara se të fajësoni opsionin që sapo ndryshuat. Zgjedhja e start nuk mund ta detyrojë një palë të paarritshme ose të identifikuar gabimisht të pranojë një propozim.
Zbatojeni ndryshimin në një tunel dhe prisni një ndërprerje
Një lidhje VPN ka dy tunele me opsione të pavarura, prandaj konfirmoni nga adresa e jashtme cilin po modifikoni. AWS lejon ndryshimin e një tuneli në një herë, dhe lidhshmëria përmes tunelit të zgjedhur mund të ndërpritet për disa minuta.
- Zgjidhni lidhjen Site-to-Site VPN dhe hapni Modify VPN tunnel options.
- Zgjidhni tunelin sipas adresës IP të jashtme dhe konfirmoni versionin IKE dhe burimin customer gateway.
- Vendosni veprimet e nisjes dhe të DPD që dëshironi vërtet, pastaj ruani në një dritare që ju kontrolloni.
- Konfirmoni që tuneli i ndryshuar vendoset, dhe kontrolloni tunelin tjetër dhe rrugëzimin përpara ndryshimit të radhës.
Një sjellje meriton vëmendje përpara mirëmbajtjes. Me nisjen nga AWS të aktivizuar nuk ka afat: AWS vazhdon të provojë derisa tuneli të ngrihet, dhe rinis kur customer gateway dërgon një mesazh delete-SA. Nëse e ulni palën me qëllim, AWS do të vazhdojë të trokasë, dhe regjistrat e palës do ta tregojnë.
Verifikoni rrugën e aplikacionit, jo vetëm gjendjen e tunelit
Një tunel që raporton up nuk është e njëjta gjë me një kërkesë që funksionon. Një funksion Lambda i lidhur me një VPC ka ende nevojë për një rrugë subnet drejt prefiksit të klientit, rregulla security group dhe network ACL që lejojnë trafikun, zgjidhje emrash që kthen adresën e saktë, dhe një rrugë kthimi në anën e klientit.
Testoni një herë me një kërkesë reale nga konteksti i aplikacionit, pastaj lexoni flow logs nëse dështon. Trafiku keepalive është një opsion i ligjshëm kur nisja nga AWS është e fikur dhe një tunel i papunë ka nevojë për paketa që të qëndrojë lart, por duhet të jetë një vendim monitorimi që mund ta emërtoni, jo një cikël ping i pashpjeguar i vidhosur në një funksion.
Zgjidhni së pari kush e ndërton tunelin, pastaj diagnostikoni dështimin e mbetur në shtresën e vet. Dokumentacioni i AWS për nisjen mbulon kërkesat për adresë, identitet dhe ripërpjekje më në detaje sesa sugjerimet në konsolë.