Како натерати AWS да започне Site-to-Site VPN тунел
Радња покретања и радња DPD истека одговарају на различита питања. Подесите ону која тера AWS да започне, затим проверите адресу партнера и путању апликације.
Подразумевано, AWS Site-to-Site VPN чека да customer gateway започне преговоре. То подразумевано је подешавање, а не закон, и подешавање се зове Startup action. Пре него што му приђете, раздвојите два питања која се стално мешају: ко подиже тунел и имају ли пакети који вас занимају путању кроз њега. Само прво живи у опцијама тунела.
Раздвојите радњу покретања од радње DPD истека
Две опције по тунелу управљају двама различитим догађајима, а подешавање једне не говори ништа о другој.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ако AWS треба да подигне нов или измењен тунел, изаберите start. Ако AWS треба и поново да започне преговоре после DPD истека, конфигуришите restart за тај догађај одвојено. Ниједна опција није политика поновних покушаја апликације и ниједна није интервал замене кључа: DPD проверава да ли је партнер жив, док замена кључа замењује security associations на активном тунелу.
Апликација којој истекне време док тунел још извештава up има проблем на путањи података. Скрћивање DPD тајмера то неће поправити и може додати узнемирење које ћете касније морати да објасните.
Проверите да AWS има где да пошаље преговоре
Иницирање са AWS стране ради само са IKEv2, а AWS-у је потребна јавна адреса customer gateway да би знао где да пошаље предлог. Најболнији случај је ресурс customer gateway аутентификован сертификатом и направљен без адресе: документација AWS-а описује прављење новог ресурса customer gateway са адресом и затим измену VPN везе да показује на њега.
Сертификат доказује ко је партнер. Он не говори AWS-у где је партнер, а то су два различита захтева. Зато је решење нов ресурс customer gateway, а не нови сертификат. Замена сертификата оставља AWS са истим одсутним одредиштем.
Ако customer gateway стоји иза NAT-а, AWS-у је потребан и конфигурисан responder identity, IDr, да би идентитет партнера одговарао ономе што уређај очекује. Потврдите ту вредност и путању кроз заштитни зид која пропушта IKE саобраћај пре него што окривите опцију коју сте управо изменили. Избор start не може натерати недоступног или погрешно идентификованог партнера да прихвати предлог.
Примените измену на један тунел и очекујте прекид
VPN веза има два тунела са независним опцијама, зато по спољашњој адреси потврдите који уређујете. AWS дозвољава измену једног тунела одједном, а повезаност кроз изабрани тунел може бити прекинута неколико минута.
- Изаберите везу Site-to-Site VPN и отворите Modify VPN tunnel options.
- Изаберите тунел по спољашњој IP адреси и потврдите његову IKE верзију и ресурс customer gateway.
- Подесите радње покретања и DPD које заиста желите, затим сачувајте у периоду који контролишете.
- Потврдите да се измењени тунел успоставља и проверите други тунел и рутирање пре следеће измене.
Једно понашање заслужује пажњу пре одржавања. Када је иницирање са AWS стране укључено, истека нема: AWS наставља да покушава док се тунел не подигне и поново иницира када customer gateway пошаље поруку delete-SA. Ако намерно искључите партнера, AWS ће наставити да куца, а записи партнера ће то показати.
Проверите путању апликације, не само стање тунела
Тунел који извештава up није исто што и захтев који ради. Функцији Lambda повезаној са VPC-ом и даље је потребна subnet путања до префикса клијента, правила security group и network ACL која дозвољавају саобраћај, разрешавање имена које враћа тачну адресу и повратна путања на страни клијента.
Тестирајте једном правим захтевом из контекста апликације, а затим читајте flow logs ако не успе. Keepalive саобраћај је легитимна опција када је иницирање са AWS стране искључено и неактивном тунелу требају пакети да остане горе, али то треба да буде одлука о надзору коју можете да именујете, а не необјашњена ping петља причвршћена за функцију.
Прво изаберите ко подиже тунел, затим дијагностикујте преостали квар на његовом сопственом слоју. Документација AWS-а о иницирању детаљније покрива захтеве за адресу, идентитет и поновне покушаје од савета у конзоли.