Kuzungusha PSK ya AWS VPN: handaki lipi linaanguka, na lini

Handaki huanguka mara moja pale ncha mbili zinapotofautiana kuhusu ufunguo ulioshirikiwa mapema, na hubaki chini hadi pande zote mbili zibebe thamani mpya. Sehemu hiyo inatarajiwa: AWS inachukua mabadiliko kama usumbufu wa handaki lililochaguliwa, na mwenzake hatakamilisha IKE wakati funguo zikitofautiana. Kinachowashangaza watu ni nusu ya pili. Handaki lingine halichukui trafiki lenyewe isipokuwa umehakiki kwamba linaweza kuibeba. Zungusha kwa mpangilio huu na usumbufu unabaki ndani ya handaki moja.

Kinachotokea kweli ufunguo unapobadilika

ModifyVpnTunnelOptions huandika upya chaguo za handaki moja, linalotambulika kwa anwani yake ya IP ya nje. Handaki huvunjwa na kujengwa upya, kwa hiyo IKE na IPsec hujadiliana kutoka mwanzo na ufunguo mpya. AWS inasema usumbufu unaweza kudumu dakika kadhaa, jambo ambalo linatosha kwa itifaki ya uelekezaji kuliona. Handaki lingine katika muunganisho huo haligusiwi na wito huo.

Kuna athari ya pili ambayo inafaa kuijua kabla ya kutuma chochote. Operesheni ya mabadiliko inachukua seti kamili ya chaguo za handaki, kwa hiyo sehemu unayoiacha huandikwa tena na thamani yake ya chaguo-msingi. Ikiwa umerekebisha muda wa maisha wa awamu 1 au awamu 2, au mipangilio ya kutambua mwenzake aliyekufa, pitisha thamani za sasa katika ombi hilo hilo au panga kuzirejesha baadaye.

Soma thamani za sasa kwanza, kisha badilisha sehemu moja. Mpangilio huo ndio nidhamu yote ya kazi hii.

Linganisha handaki la AWS na mwenzake sahihi kwanza

Konsoli hulembea handaki kwa mpangilio, na kifaa chako hakitumii lebo hiyo. Tambua handaki kwa anwani yake ya IP ya nje na ulinganishe na sehemu ya mwenzake kwenye lango la mteja. Handaki 1 katika usanidi wa ndani si uthibitisho kwamba unahariri handaki ambalo AWS huliita handaki 1.

Anza na muunganisho wenyewe, ambao unaorodhesha handaki zote mbili na ufunguo ambao kila moja inashikilia sasa:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Ufunguo unaorudi ndio unaotumika sasa. Linganisha na usanidi wa mwenzake kabla ya kubadilisha chochote, kwa sababu tofauti iliyopo tayari inaeleza handaki ambalo halikuwa thabiti kamwe.

Kwanza acha handaki lingine libebe trafiki

Handaki mbili katika muunganisho mmoja hazithibitishi kwamba kifaa chako kimeunda zote mbili, kwamba zote mbili zinatangaza viambishi unavyohitaji, au kwamba trafiki inasonga kati yao. Hakiki majadiliano ya handaki mbadala, njia zake na mtiririko halisi wa programu katika pande zote mbili. Kwa BGP, ujirani ulio hai ni ushahidi muhimu lakini si sawa na kuthibitisha viambishi. Kwa uelekezaji tuli, thibitisha jinsi lango linavyochagua njia na linachofanya njia inayopendekezwa inapotoweka.

Ikiwa mbadala hauwezi kubeba mzigo wa kazi, panga usumbufu au rekebisha handaki mbadala kabla ya kugusa ufunguo. Taa ya hali kwenye ukurasa wa konsoli si ahadi ya huduma isiyokatizwa.

Zungusha handaki moja, kisha hakiki kwa trafiki halisi

Njia mbadala ikithibitika, mpangilio ni mfupi. Andika anwani ya handaki, mwenzake na mipangilio isiyo ya siri, na uweke njia ya usimamizi kuelekea lango ambayo haitegemei handaki unalokwenda kuvunja.

1. Sasisha mwenzake wa lango la mteja kwa anwani ya nje iliyochaguliwa, au andaa mabadiliko ili yaanze kutumika sekunde chache baada ya wito wa API.
2. Tuma wito wa mabadiliko na ufunguo mpya pamoja na muda wa maisha na thamani za DPD za sasa.
3. Subiri IKE na IPsec zirudi, kisha thibitisha njia na viambishi vinavyohitajika.
4. Pitisha mtiririko wa programu unaowakilisha kupitia handaki hilo na uangalie pande zote mbili.

Handaki halitumiki wakati ncha hazikubaliani na wakati AWS inatumia mabadiliko, kwa hiyo sasisho la mwenzake lazima lifuate mara moja na si baada ya chakula cha mchana. Ni pale tu handaki lililobadilishwa linapobeba trafiki halisi unapaswa kurudia utaratibu kwa lingine.

Simama ikiwa urejeshaji au uelekezaji bado hauna uhakika baada ya handaki la kwanza. Handaki mbili zinazofanya kazi nusu ni mbaya zaidi kuliko moja unayojua inafanya kazi.

Urejeshaji unapokwama, soma upande wa IKE

Handaki linalobaki chini baada ya ncha zote mbili kushikilia ufunguo mpya kwa kawaida ni tofauti ya sera ambayo kuzungusha kulifichua na hakukuunda. Mapendekezo, utambulisho unaotumwa na mwenzake na vichaguzi vya trafiki vyote lazima vikubaliane na upande wa AWS, na thamani iliyonusurika katika handaki lililoimarishwa bado inaweza kukataliwa wakati wa majadiliano mapya. Soma hali ya majadiliano na ujumbe ulioambatishwa kabla ya kubadilisha ufunguo mara ya pili.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Ikiwa mabadiliko yanapaswa kutenguliwa, usirejeshe ufunguo wa zamani kwa sababu tu ulifanya kazi hapo awali. Chukulia ufunguo uliovunjwa kama uliovunjwa na urekebishe majadiliano badala yake. Maliza kwa handaki zote mbili zilizohakikiwa na orodha ya siri imesasishwa ili kila mwenzake aandike thamani anayoshikilia, na weka nyaraka za chaguo za handaki la AWS kando ya runbook.