Jinsi ya kufanya AWS ianzishe handaki la Site-to-Site VPN
Kitendo cha kuanzisha na kitendo cha muda wa DPD hujibu maswali tofauti. Weka kile kinachofanya AWS ianzishe, kisha angalia anwani ya mwenzio na njia ya programu.
Kwa chaguo-msingi, AWS Site-to-Site VPN husubiri customer gateway ianzishe mazungumzo. Chaguo-msingi hilo ni mpangilio, si sheria, na mpangilio unaitwa Startup action. Kabla ya kuifikia, tenganisha maswali mawili yanayochanganywa kila mara: nani anajenga handaki, na kama pakiti unazojali zina njia kupitia humo. La kwanza pekee liko katika chaguo za handaki.
Tenganisha kitendo cha kuanzisha na kitendo cha muda wa DPD
Chaguo mbili kwa kila handaki hudhibiti matukio mawili tofauti, na kuweka moja hakisemi chochote kuhusu lingine.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Ikiwa AWS inapaswa kujenga handaki jipya au lililobadilishwa, chagua start. Ikiwa AWS inapaswa pia kuanzisha upya mazungumzo baada ya muda wa DPD, sanidi restart kwa tukio hilo kando. Hakuna chaguo lolote lililo sera ya kujaribu tena ya programu, na hakuna lililo muda wa kubadilisha ufunguo: DPD hukagua kama mwenzio yu hai, wakati kubadilisha ufunguo hubadilisha security associations kwenye handaki linalofanya kazi.
Programu inayopitwa na muda wakati handaki bado linaripoti up ina tatizo la njia ya data. Kufupisha kipima muda cha DPD hakitarekebisha hilo, na kinaweza kuongeza ghasia utakazopaswa kueleza baadaye.
Hakikisha AWS ina mahali pa kutuma mazungumzo
Kuanzisha kwa upande wa AWS hufanya kazi tu na IKEv2, na AWS inahitaji anwani ya umma ya customer gateway kujua wapi pa kutuma pendekezo. Kesi inayoumiza zaidi ni rasilimali ya customer gateway iliyothibitishwa kwa cheti iliyoundwa bila anwani: nyaraka za AWS zinaeleza kuunda rasilimali mpya ya customer gateway na anwani kisha kubadilisha muunganisho wa VPN uelekee huko.
Cheti huthibitisha mwenzio ni nani. Hakimwambii AWS mwenzio yuko wapi, na haya ni mahitaji mawili tofauti. Ndiyo sababu suluhisho ni rasilimali mpya ya customer gateway na si cheti kipya. Kubadilisha cheti humwacha AWS na lengwa lilelile linalokosekana.
Ikiwa customer gateway iko nyuma ya NAT, AWS pia inahitaji responder identity iliyosanidiwa, IDr, ili utambulisho wa mwenzio ulingane na kile kifaa kinachotarajia. Thibitisha thamani hiyo na njia ya firewall inayoruhusu trafiki ya IKE kabla ya kulaumu chaguo ulilobadilisha hivi punde. Kuchagua start hakuwezi kulazimisha mwenzio asiyefikika au aliyetambuliwa vibaya kukubali pendekezo.
Tumia mabadiliko kwenye handaki moja na tarajia usumbufu
Muunganisho wa VPN una handaki mbili zenye chaguo huru, kwa hiyo thibitisha kwa anwani ya nje ni lipi unalohariri. AWS huruhusu handaki moja kubadilishwa kwa wakati mmoja, na muunganisho kupitia handaki lililochaguliwa unaweza kukatika kwa dakika kadhaa.
- Chagua muunganisho wa Site-to-Site VPN na ufunge Modify VPN tunnel options.
- Chagua handaki kwa anwani ya nje ya IP na uthibitishe toleo lake la IKE na rasilimali ya customer gateway.
- Weka vitendo vya kuanzisha na vya DPD unavyotaka kwa kweli, kisha hifadhi katika kipindi unachodhibiti.
- Thibitisha kwamba handaki lililobadilishwa linajengwa, na kagua handaki lingine na uelekezaji kabla ya mabadiliko yafuatayo.
Tabia moja inastahili umakini kabla ya matengenezo. Uanzishaji wa AWS ukiwa umewashwa hakuna muda: AWS huendelea kujaribu hadi handaki linapanda, na huanzisha upya mwenzio anapotuma ujumbe wa delete-SA. Ukimtoa mwenzio kwa makusudi, AWS itaendelea kugonga, na kumbukumbu za mwenzio zitaonyesha hilo.
Thibitisha njia ya programu, si hali ya handaki pekee
Handaki linaloripoti up si sawa na ombi linalofanya kazi. Kitendakazi cha Lambda kilichoambatishwa kwenye VPC bado kinahitaji njia ya subnet kuelekea kiambishi cha mteja, kanuni za security group na network ACL zinazoruhusu trafiki, utatuzi wa majina unaorudisha anwani sahihi, na njia ya kurudi upande wa mteja.
Jaribu mara moja kwa ombi halisi kutoka mazingira ya programu, kisha soma flow logs ikiwa itashindikana. Trafiki ya keepalive ni chaguo halali wakati uanzishaji wa AWS umezimwa na handaki tulivu linahitaji pakiti ili kubaki juu, lakini inapaswa kuwa uamuzi wa ufuatiliaji unaoweza kuutaja, si mzunguko wa ping usioelezeka uliobandikwa kwenye kitendakazi.
Chagua kwanza nani anajenga handaki, kisha chunguza hitilafu iliyobaki katika tabaka lake. Nyaraka za AWS kuhusu uanzishaji zinashughulikia mahitaji ya anwani, utambulisho na kujaribu tena kwa undani zaidi kuliko vidokezo vya konsoli.