AWS ను Site-to-Site VPN సొరంగం ప్రారంభించేలా చేయడం ఎలా
Startup action మరియు DPD timeout action వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తాయి. AWS ప్రారంభించేదాన్ని సెట్ చేయండి, ఆపై పీర్ చిరునామా మరియు యాప్ మార్గాన్ని తనిఖీ చేయండి.
డిఫాల్ట్‌గా, AWS Site-to-Site VPN customer gateway సంప్రదింపులు ప్రారంభించే వరకు వేచి ఉంటుంది. ఆ డిఫాల్ట్ ఒక సెట్టింగ్, చట్టం కాదు, మరియు సెట్టింగ్ పేరు Startup action. దానిని ఆశ్రయించే ముందు, ఎప్పుడూ కలిసిపోయే రెండు ప్రశ్నలను వేరు చేయండి: సొరంగాన్ని ఎవరు నిర్మిస్తారు, మరియు మీకు ముఖ్యమైన ప్యాకెట్లకు దాని గుండా మార్గం ఉందా. మొదటిది మాత్రమే సొరంగ ఎంపికల్లో ఉంటుంది.
ప్రారంభ క్రియను DPD టైమౌట్ క్రియ నుండి వేరు చేయండి
ప్రతి సొరంగానికి రెండు ఎంపికలు రెండు వేర్వేరు సంఘటనలను నియంత్రిస్తాయి, ఒకటి సెట్ చేయడం మరొకదాని గురించి ఏమీ చెప్పదు.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS కొత్త లేదా మార్చిన సొరంగాన్ని నిర్మించాల్సి ఉంటే, ఎంచుకోండి start. DPD టైమౌట్ తర్వాత AWS సంప్రదింపులను కూడా పునఃప్రారంభించాల్సి ఉంటే, ఆ సంఘటన కోసం విడిగా restart ను కాన్ఫిగర్ చేయండి. ఏ ఎంపికా యాప్ తిరిగి ప్రయత్నించే విధానం కాదు, ఏదీ కీ మార్పు విరామం కాదు: DPD పీర్ సజీవంగా ఉందో లేదో తనిఖీ చేస్తుంది, కీ మార్పు సక్రియ సొరంగంలో security associations ను భర్తీ చేస్తుంది.
సొరంగం ఇంకా up అని నివేదిస్తున్నప్పుడు టైమౌట్ అయ్యే యాప్‌కు డేటా మార్గ సమస్య ఉంటుంది. DPD టైమర్‌ను తగ్గించడం దాన్ని సరిచేయదు, తర్వాత వివరించాల్సిన గందరగోళాన్ని కూడా జోడించవచ్చు.
AWS కు సంప్రదింపులను పంపే స్థలం ఉందో లేదో తనిఖీ చేయండి
AWS వైపు నుండి ప్రారంభం IKEv2 తో మాత్రమే పనిచేస్తుంది, ప్రతిపాదనను ఎక్కడికి పంపాలో తెలియడానికి AWS కు customer gateway యొక్క పబ్లిక్ చిరునామా కావాలి. ఎక్కువ నొప్పి కలిగించే సందర్భం చిరునామా లేకుండా సృష్టించిన ధృవపత్ర-ప్రామాణీకృత customer gateway వనరు: చిరునామాతో కొత్త customer gateway వనరును సృష్టించి, తర్వాత VPN కనెక్షన్‌ను దాని వైపు తిప్పడాన్ని AWS పత్రాలు వివరిస్తాయి.
ధృవపత్రం పీర్ ఎవరో నిరూపిస్తుంది. పీర్ ఎక్కడ ఉందో AWS కి చెప్పదు, ఇవి రెండు వేర్వేరు అవసరాలు. అందుకే పరిష్కారం కొత్త ధృవపత్రం కాదు, కొత్త customer gateway వనరు. ధృవపత్రాన్ని మార్చడం AWS కు అదే తప్పిపోయిన గమ్యాన్ని మిగులుస్తుంది.
customer gateway NAT వెనుక ఉంటే, AWS కు కాన్ఫిగర్ చేసిన responder identity కూడా అవసరం, IDr, పీర్ గుర్తింపు పరికరం ఆశించే దానితో సరిపోలేలా. మీరు ఇప్పుడే మార్చిన ఎంపికను నిందించే ముందు ఆ విలువను మరియు IKE ట్రాఫిక్‌ను అనుమతించే ఫైర్‌వాల్ మార్గాన్ని నిర్ధారించండి. start ఎంచుకోవడం ద్వారా చేరుకోలేని లేదా తప్పుగా గుర్తించిన పీర్‌ను ప్రతిపాదనను అంగీకరించేలా చేయలేము.
మార్పును ఒక సొరంగానికి వర్తించి అంతరాయాన్ని ఆశించండి
VPN కనెక్షన్‌లో స్వతంత్ర ఎంపికలతో రెండు సొరంగాలు ఉంటాయి, కాబట్టి బయటి చిరునామా ద్వారా ఏది సవరిస్తున్నారో నిర్ధారించండి. AWS ఒకసారి ఒక సొరంగాన్ని మాత్రమే మార్చడానికి అనుమతిస్తుంది, ఎంచుకున్న సొరంగంపై కనెక్టివిటీ కొన్ని నిమిషాలు తెగిపోవచ్చు.
- Site-to-Site VPN కనెక్షన్‌ను ఎంచుకుని Modify VPN tunnel options తెరవండి.
- బయటి IP చిరునామా ద్వారా సొరంగాన్ని ఎంచుకుని దాని IKE సంస్కరణ మరియు customer gateway వనరును నిర్ధారించండి.
- మీరు నిజంగా కోరుకునే ప్రారంభ మరియు DPD క్రియలను సెట్ చేసి, తర్వాత మీ నియంత్రణలో ఉన్న సమయంలో సేవ్ చేయండి.
- మార్చిన సొరంగం ఏర్పడుతుందని నిర్ధారించి, తదుపరి మార్పుకు ముందు మరో సొరంగాన్ని మరియు రూటింగ్‌ను తనిఖీ చేయండి.
నిర్వహణకు ముందు ఒక ప్రవర్తన దృష్టి పొందాలి. AWS ప్రారంభం ప్రారంభించి ఉన్నప్పుడు టైమౌట్ ఉండదు: సొరంగం పైకి వచ్చే వరకు AWS ప్రయత్నిస్తూనే ఉంటుంది, customer gateway delete-SA సందేశం పంపినప్పుడు మళ్లీ ప్రారంభిస్తుంది. పీర్‌ను ఉద్దేశపూర్వకంగా దించినట్లయితే, AWS తట్టుతూనే ఉంటుంది, పీర్ లాగ్‌లు దాన్ని చూపుతాయి.
సొరంగం స్థితి మాత్రమే కాదు, యాప్ మార్గాన్ని ధృవీకరించండి
up అని నివేదించే సొరంగం పనిచేసే అభ్యర్థనతో సమానం కాదు. VPC కు జోడించిన Lambda ఫంక్షన్‌కు ఇంకా కస్టమర్ ప్రిఫిక్స్‌కు subnet మార్గం, ట్రాఫిక్‌ను అనుమతించే security group మరియు network ACL నియమాలు, సరైన చిరునామా తిరిగి ఇచ్చే పేరు పరిష్కారం, మరియు కస్టమర్ వైపు తిరిగి వచ్చే మార్గంఅవసరం.
యాప్ సందర్భం నుండి ఒకసారి నిజమైన అభ్యర్థనతో పరీక్షించి, విఫలమైతే flow logs చదవండి. AWS ప్రారంభం ఆఫ్‌లో ఉన్నప్పుడు మరియు నిష్క్రియ సొరంగం నిలబడటానికి ప్యాకెట్లు కావాల్సినప్పుడు keepalive ట్రాఫిక్ చట్టబద్ధమైన ఎంపిక, కానీ అది మీరు పేరు పెట్టగల పర్యవేక్షణ నిర్ణయం అయి ఉండాలి, ఫంక్షన్‌పై బిగించిన వివరణ లేని ping లూప్ కాదు.
మొదట సొరంగాన్ని ఎవరు నిర్మిస్తారో ఎంచుకోండి, తర్వాత మిగిలిన వైఫల్యాన్ని దాని స్వంత పొరలో నిర్ధారణ చేయండి. AWS ప్రారంభం గురించిన పత్రాలు కన్సోల్ సూచనల కంటే చిరునామా, గుర్తింపు మరియు పునఃప్రయత్న అవసరాలను వివరంగా కవర్ చేస్తాయి.