Rrotullimi i një PSK të AWS VPN: cili tunel bie dhe kur

Tuneli bie në momentin kur dy skajet nuk bien dakord për çelësin e parandare, dhe mbetet poshtë derisa të dy anët të mbajnë vlerën e re. Kjo pjesë pritet: AWS e trajton ndryshimin si një ndërprerje të tunelit të zgjedhur, dhe partneri nuk do ta përfundojë IKE ndërsa çelësat ndryshojnë. Ajo që i befasojnë njerëzit është gjysma e dytë. Tuneli tjetër nuk e merr trafikun vetë, përveç nëse keni verifikuar se mund ta mbajë. Rrotulloni në këtë rend dhe ndërprerja mbetet brenda një tuneli.

Çfarë ndodh në të vërtetë kur çelësi ndryshon

ModifyVpnTunnelOptions rishkruan opsionet për një tunel, të identifikuar nga adresa e tij IP e jashtme. Tuneli çmontohet dhe rindërtohet, kështu që IKE dhe IPsec negociojnë nga e para me çelësin e ri. AWS deklaron se ndërprerja mund të zgjasë disa minuta, që është kohë e mjaftueshme për një protokoll rrugëtimi ta vërë re. Tuneli tjetër në të njëjtën lidhje nuk preket nga thirrja.

Ka një efekt të dytë që ia vlen të dihet përpara se të dërgoni diçka. Operacioni i ndryshimit merr grupin e plotë të opsioneve të tunelit, kështu që një fushë që e lini jashtë shkruhet përsëri me vlerën e saj të parazgjedhur. Nëse keni rregulluar kohëzgjatjet e fazës 1 ose fazës 2, ose cilësimet e zbulimit të partnerit të vdekur, kaloni vlerat aktuale në të njëjtën kërkesë ose planifikoni t'i riktheni më pas.

Lexoni së pari vlerat aktuale, pastaj ndryshoni një fushë të vetme. Ai rend është e gjithë disiplina e këtij detyre.

Përputhni së pari tunelin AWS me partnerin e duhur

Konsola i etiketon tunelët sipas rendit, dhe pajisja juaj nuk e përdor atë etiketë. Identifikoni tunelin nga adresa e tij IP e jashtme dhe përputheni me seksionin e partnerit në portën e klientit. Tuneli 1 në një konfigurim lokal nuk është provë se po redaktoni tunelin që AWS e quan tunel 1.

Filloni nga vetë lidhja, e cila rendit të dy tunelët dhe çelësin që mban secili tani:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Çelësi që kthehet është ai që përdoret tani. Krahasojeni me konfigurimin e partnerit përpara se të ndryshoni diçka, sepse një mospërputhje që ekziston tashmë shpjegon një tunel që nuk ishte kurrë i qëndrueshëm.

Lëreni së pari tunelin tjetër të mbajë trafikun

Dy tunelë në një lidhje nuk provojnë se pajisja juaj i ka konfiguruar të dy, se të dy shpallin prefikset që ju nevojiten, ose se trafiku lëviz midis tyre. Kontrolloni negocimin e tunelit alternativ, rrugët e tij dhe një rrjedhë reale aplikacioni në të dy drejtimet. Me BGP, një fqinjësi e gjallë është provë e dobishme, por nuk është e njëjta gjë me konfirmimin e prefikseve. Me rrugëtim statik, konfirmoni si e zgjedh porta rrugën dhe çfarë bën kur ajo e preferuara zhduket.

Nëse alternativa nuk mund ta mbajë ngarkesën e punës, planifikoni ndërprerjen ose riparoni tunelin alternativ përpara se të prekni çelësin. Një dritë statusi në një faqe konsol nuk është premtim për shërbim të pandërprerë.

Rrotulloni një tunel, pastaj verifikoni me trafik real

Pasi rruga alternative të jetë provuar, sekuenca është e shkurtër. Shënoni adresën e tunelit, partnerin e tij dhe cilësimet që nuk janë sekrete, dhe mbani një rrugë administrimi drejt portës që nuk varet nga tuneli që do të thyeni.

1. Përditësoni partnerin e portës së klientit për adresën e jashtme të zgjedhur, ose përgatisni ndryshimin që të hyjë në fuqi sekonda pas thirrjes API.
2. Dërgoni thirrjen e ndryshimit me çelësin e ri plus kohëzgjatjet dhe vlerat aktuale DPD.
3. Prisni që IKE dhe IPsec të kthehen, pastaj konfirmoni rrugët dhe prefikset e kërkuara.
4. Kaloni një rrjedhë përfaqësuese aplikacioni përmes atij tuneli dhe vëzhgoni të dy drejtimet.

Tuneli është i papërdorshëm ndërsa skajet nuk bien dakord dhe ndërsa AWS zbaton ndryshimin, kështu që përditësimi i partnerit duhet të pasojë menjëherë dhe jo pas drekës. Vetëm kur tuneli i ndryshuar mbart trafik real duhet ta përsërisni procedurën tek tjetri.

Ndaloni nëse rikuperimi ose rrugëtimi janë ende të pasigurt pas tunelit të parë. Dy tunelë që punojnë gjysmë janë më keq se një që e dini se punon.

Kur rikuperimi ngec, lexoni anën IKE

Një tunel që mbetet poshtë pasi të dy skajet mbajnë çelësin e ri është zakonisht një mospërputhje politike që rrotullimi e zbuloi dhe nuk e krijoi. Propozimet, identiteti që dërgon partneri dhe përzgjedhësit e trafikut duhet të gjithë të pajtohen me anën AWS, dhe një vlerë që i mbijetoi një tuneli të vendosur mund të refuzohet ende gjatë një negocimi të ri. Lexoni statusin e negocimit dhe mesazhin e bashkangjitur përpara se ta ndryshoni çelësin për herë të dytë.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Nëse ndryshimi duhet të anulohet, mos e riktheni çelësin e vjetër vetëm sepse funksiononte më parë. Trajtoni një çelës të komprometuar si të komprometuar dhe rregulloni më mirë negocimin. Përfundoni me të dy tunelët të verifikuar dhe inventarin e sekreteve të përditësuar, në mënyrë që secili partner të regjistrojë cilën vlerë mban, dhe mbani dokumentacionin e opsioneve të tunelit AWS pranë runbook-ut.