Kufijtë e Cloud VPN që nuk mund t'i rregulloni: jetëgjatësia e IKE dhe NAT i peer-it

Jepini pajisjes në distancë një jetëgjatësi të fazës 1 prej 24 orësh dhe tuneli i Cloud VPN mbetet poshtë, edhe pse gjithçka në anën e Google është konfiguruar saktë. Peer-i propozon një vlerë që përgjigjësi nuk do ta pranojë, prandaj negociimi ose dështon plotësisht ose rinis pa fund. Cloud VPN e kufizon fazën 1 në 36,000 sekonda, pra dhjetë orë, dhe ky kufi nuk është një cilësim që mund ta ngrini. Ndryshimi i takon pajisjes në distancë.

Peer-i pyet, përgjigjësi vendos

IKE është një ushtrim përputhjeje midis dy grupeve propozimesh. Tuneli formohet vetëm aty ku grupet mbivendosen brenda kufijve që përgjigjësi pranon, prandaj një jetëgjatësi jashtë intervalit nuk prodhon asnjë tunel të pjesshëm. Gabimi i zakonshëm është trajtimi i konfigurimit të peer-it si listë dëshirash dhe jo si propozim. Një prerje bosh e lë tunelin poshtë, sado të sakta të jenë rrugëtimi dhe përzgjedhësit.

Lexoni gjendjen e vetë tunelit përpara se të hapni një rast, sepse gjendja e detajuar zakonisht emërton fazën që dështoi:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Krahasoni atë që kthehet me grupin e mbështetur për llojin e portës dhe versionin e IKE, dhe shënoni të dy përzgjedhësit e trafikut ndërsa jeni atje. Mospërputhja e përzgjedhësit jep të njëjtin simptom të tunelit poshtë si mospërputhja e algoritmit, dhe ndryshe nga algoritmi, kjo është puna juaj për ta rregulluar.

36,000 sekonda është tavani

Faza 1 ndalon në 36,000 sekonda. Një pajisje e vendosur në 86,400 kërkon diçka me të cilën përgjigjësi nuk do të pajtohet kurrë, dhe ripërpjekja nuk ia ndryshon mendjen. Kthejeni propozimin në distancë brenda intervalit dhe i njëjti konfigurim vendoset; asimetria është e gjithë mësimi, sepse vlerën tuaj mund ta ulni dhe atë të Google nuk mund ta ngrini.

Shkruani vlerën e zgjedhur në shënimet e projektimit. Përndryshe inxhinieri tjetër përsërit eksperimentin e 24 orëve dhe godet të njëjtin mur.

Grupi i mbështetur publikohet për çdo lloj porte dhe version IKE në përmbledhjen e Cloud VPN, prandaj lexoni seksionin për topologjinë tuaj, jo një udhëzues të përgjithshëm IKE.

Një tunel që bie sipas një orari

Faza 2 sillet ndryshe: kur dy skajet nuk bien dakord, ripërtëritja e çelësave ndjek intervalin më të shkurtër. Një peer që e trajton mospërputhjen si fatale e hedh tunelin poshtë, prandaj një mospërputhje mund të duket si dy defekte të palidhura. Vini re ritmin e ripërtëritjes së çelësave, jo vetëm lidhjen e parë. Një tunel që ngrihet dhe pastaj bie me një ritëm të rregullt është më shpesh mospërputhje jetëgjatësie sesa defekt rrugëtimi.

Lidhni ato vulë kohore të rënies me regjistrat e vetë peer-it përpara se të ndryshoni çdo gjë, sepse një ndryshim përzgjedhësi ose rruge mund të imitojë të njëjtin ritëm. Nëse ritmi përputhet me kohëmatësin e fazës 2, shkaku është gjetur pa prekur një propozim.

Grupet vijnë nga lloji i portës

Grupet e kriptimit dhe integritetit nuk janë profil për çdo tunel që redaktoni siç lejon strongSwan. I zgjidhni sipas llojit të portës dhe versionit IKE, dhe kërkimi i një profili që nuk ekziston harxhon një pasdite.

Një pajisje e vjetër që nuk ofron asgjë brenda grupit të mbështetur lë dy rrugë të ndershme: zëvendësoni pajisjen, ose përfundoni në një portë softuerike që ju kontrolloni dhe rrugëtoni prej andej në VPC. Çdo gjë tjetër është një zgjidhje anash që do të dështojë në rishikimin e ardhshëm.

Një adresë e jashtme për pajisje

Adresa e jashtme e peer-it duhet të pasqyrohet një-me-një në adresën e tij të brendshme. Një pishinë PAT e mbingarkuar nuk mund të funksionojë, sepse disa hoste pas një adrese publike të vetme nuk i japin përgjigjësit asnjë mënyrë për t'i ndarë. Aty ku disa hoste duhet të ndajnë një adresë, tuneli duhet të përfundojë diku që mund t'i dallojë.

Mbani të qëndrueshme edhe atë adresë të jashtme. Zhvendosni pajisjen pas një NAT tjetër dhe shoqërimi thyhet, edhe pse çdo propozim ende përputhet. Ia vlen të shënoni cilat vlera janë të Google dhe cilat tuajat: jetëgjatësitë, grupet dhe NAT një-me-një janë fiks në anën e tyre, ndërsa propozimet, përzgjedhësit, rrugëtimi dhe prioritetet BGP janë tuajat.