Mipaka ya Cloud VPN usiyoweza kurekebisha: muda wa IKE na NAT ya peer

Ipe kifaa cha mbali muda wa awamu 1 wa saa 24 na handaki la Cloud VPN litabaki chini, hata kama kila kitu upande wa Google kimesanidiwa sawasawa. Peer inapendekeza thamani ambayo mjibu hatakubali, kwa hiyo mazungumzo ama yanashindwa kabisa au yanaanzia upya bila mwisho. Cloud VPN inaweka kikomo cha awamu 1 kwa sekunde 36,000, yaani saa kumi, na kikomo hicho si mpangilio unaoweza kuinua. Mabadiliko ni ya kifaa cha mbali.

Peer inauliza, mjibu anaamua

IKE ni zoezi la kulinganisha seti mbili za mapendekezo. Handaki huundwa tu pale seti zinapogongana ndani ya mipaka ambayo mjibu anaitikia, ndiyo sababu muda nje ya kiwango hautoi handaki la sehemu hata kidogo. Kosa la kawaida ni kuchukua usanidi wa peer kama orodha ya matakwa badala ya pendekezo. Makutano matupu huacha handaki chini, hata njia na vichaguzi vikiwa sahihi kiasi gani.

Soma hali ya handaki lenyewe kabla ya kufungua kesi, kwa sababu hali ya kina kwa kawaida hutaja awamu iliyoshindwa:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Linganisha kinachorudi na seti inayotumika kwa aina ya lango na toleo la IKE, na uandike vichaguzi vyote viwili vya trafiki ukiwa hapo. Kutokulingana kwa kichaguzi kunatoa dalili ile ile ya handaki chini kama kutokulingana kwa algoriti, na tofauti na algoriti, hili ni lako kurekebisha.

Sekunde 36,000 ndio kikomo cha juu

Awamu 1 inasimama kwa sekunde 36,000. Kifaa kilichowekwa 86,400 kinaomba kitu ambacho mjibu hatakubali kamwe, na kujaribu tena hakubadilishi mawazo yake. Rudisha pendekezo la mbali ndani ya kiwango na usanidi ule ule utaundwa; usawa huo ndio somo lote, kwa sababu unaweza kupunguza thamani yako mwenyewe lakini hauwezi kuinua ya Google.

Andika thamani iliyochaguliwa katika maelezo ya usanifu. Vinginevyo mhandisi anayefuata atarudia jaribio la saa 24 na kufikia ukuta ule ule.

Seti inayotumika huchapishwa kwa kila aina ya lango na toleo la IKE katika muhtasari wa Cloud VPN, kwa hiyo soma sehemu ya topolojia yako badala ya mwongozo wa jumla wa IKE.

Handaki linaloanguka kwa ratiba

Awamu 2 inajiendesha kwa namna tofauti: pande mbili zisipokubaliana, uhuishaji wa funguo hufuata kipindi kifupi. Peer inayochukua kutokulingana kama jambo la kufa huangusha handaki badala yake, kwa hiyo kutokulingana kumoja kunaweza kuonekana kama hitilafu mbili zisizohusiana. Angalia mdundo wa uhuishaji wa funguo, si muunganisho wa kwanza tu. Handaki linalopanda kisha kuanguka kwa mdundo wa kawaida mara nyingi ni kutokulingana kwa muda kuliko hitilafu ya njia.

Unganisha mihuri hiyo ya muda wa kuanguka na kumbukumbu za peer yenyewe kabla ya kubadilisha chochote, kwa sababu mabadiliko ya kichaguzi au njia yanaweza kuiga mdundo ule ule. Ikiwa mdundo unalingana na kipima muda cha awamu 2, sababu imepatikana bila kugusa pendekezo.

Seti hutoka kwa aina ya lango

Seti za cipher na uadilifu si wasifu wa kila handaki unaouhariri kama strongSwan inavyoruhusu. Unazichagua kwa aina ya lango na toleo la IKE, na kutafuta wasifu ambao haupo hutumia mchana mzima bure.

Kifaa cha zamani kisichotoa chochote ndani ya seti inayotumika huacha njia mbili za uaminifu: badilisha kifaa, au maliza kwenye lango la programu unalolidhibiti na uelekeze kutoka hapo hadi VPC. Kitu kingine chochote ni suluhisho la kuzunguka ambalo litashindwa katika mapitio yajayo.

Anwani moja ya nje kwa kila kifaa

Anwani ya nje ya peer lazima ipangwe moja-kwa-moja kwa anwani yake ya ndani. Bwawa la PAT lililojaa kupita kiasi haliwezi kufanya kazi, kwa sababu wenyeji kadhaa nyuma ya anwani moja ya umma hawapi mjibu namna yoyote ya kuwatenganisha. Pale wenyeji kadhaa wanapaswa kushiriki anwani, handaki lazima liishie mahali panapoweza kuwatofautisha.

Weka pia anwani hiyo ya nje kuwa thabiti. Hamisha kifaa nyuma ya NAT nyingine na uhusiano utakatika ingawa kila pendekezo bado linalingana. Inafaa kuandika thamani zipi ni za Google na zipi ni zako: muda, seti na NAT moja-kwa-moja ni thabiti kwa upande wao, wakati mapendekezo, vichaguzi, njia na vipaumbele vya BGP ni vyako.