AWS VPN PSK తిప్పడం: ఏ సొరంగం పడిపోతుంది, ఎప్పుడు

రెండు చివరలు ముందుగా పంచుకున్న కీపై అంగీకరించని క్షణంలోనే సొరంగం పడిపోతుంది, రెండు వైపులా కొత్త విలువను మోసుకొచ్చే వరకు అది కిందే ఉంటుంది. ఆ భాగం ఆశించినదే: AWS ఈ మార్పును ఎంచుకున్న సొరంగం యొక్క అంతరాయంగా పరిగణిస్తుంది, కీలు భిన్నంగా ఉన్నంత వరకు సహచరుడు IKE పూర్తి చేయడు. ప్రజలను ఆశ్చర్యపరిచేది రెండో సగం. మరో సొరంగం తనంతట తానే ట్రాఫిక్ను తీసుకోదు, అది మోయగలదని మీరు తనిఖీ చేయకపోతే. ఈ క్రమంలో తిప్పండి, అంతరాయం ఒకే సొరంగం లోపల ఉంటుంది.

కీ మారినప్పుడు నిజంగా ఏమి జరుగుతుంది

ModifyVpnTunnelOptions ఒక సొరంగం యొక్క ఎంపికలను తిరిగి రాస్తుంది, అది దాని బాహ్య IP చిరునామా ద్వారా గుర్తించబడుతుంది. సొరంగం విచ్ఛిన్నమై మళ్లీ నిర్మించబడుతుంది, కాబట్టి IKE మరియు IPsec కొత్త కీతో మొదటి నుండి చర్చలు జరుపుతాయి. అంతరాయం కొన్ని నిమిషాలు కొనసాగవచ్చని AWS పేర్కొంటుంది, అది రూటింగ్ ప్రోటోకాల్ గమనించడానికి సరిపోయేంత పొడవు. అదే కనెక్షన్లోని మరో సొరంగాన్ని ఈ పిలుపు తాకదు.

ఏదైనా పంపే ముందు తెలుసుకోవలసిన రెండో ప్రభావం ఉంది. మార్పు ఆపరేషన్ సొరంగ ఎంపికల పూర్తి సమితిని తీసుకుంటుంది, కాబట్టి మీరు వదిలివేసే ఫీల్డ్ దాని డిఫాల్ట్ విలువతో తిరిగి రాయబడుతుంది. మీరు దశ 1 లేదా దశ 2 ఆయుష్షును, లేదా మృత సహచరుడి గుర్తింపు సెట్టింగ్లను ట్యూన్ చేసి ఉంటే, ప్రస్తుత విలువలను అదే అభ్యర్థనలో పంపండి లేదా తర్వాత పునరుద్ధరించడానికి ప్రణాళిక వేయండి.

మొదట ప్రస్తుత విలువలను చదవండి, తర్వాత ఒక ఫీల్డ్ను మార్చండి. ఆ క్రమమే ఈ పని యొక్క మొత్తం క్రమశిక్షణ.

మొదట AWS సొరంగాన్ని సరైన సహచరుడితో సరిపోల్చండి

కన్సోల్ సొరంగాలను క్రమం ప్రకారం లేబుల్ చేస్తుంది, మీ పరికరం ఆ లేబుల్ను ఉపయోగించదు. సొరంగాన్ని దాని బాహ్య IP చిరునామా ద్వారా గుర్తించి కస్టమర్ గేట్వేలోని సహచరుడి విభాగంతో సరిపోల్చండి. స్థానిక కాన్ఫిగరేషన్లో సొరంగం 1 ఉండటం AWS సొరంగం 1 అని పిలిచే సొరంగాన్ని మీరు సవరిస్తున్నారనడానికి రుజువు కాదు.

కనెక్షన్ నుండే ప్రారంభించండి, అది రెండు సొరంగాలను మరియు ప్రతి ఒక్కటి ఇప్పుడు కలిగి ఉన్న కీని జాబితా చేస్తుంది:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

తిరిగి వచ్చే కీయే ఇప్పుడు ఉపయోగంలో ఉన్నది. ఏదైనా మార్చే ముందు దాన్ని సహచరుడి కాన్ఫిగరేషన్తో పోల్చండి, ఎందుకంటే ఇప్పటికే ఉన్న అసమతౌల్యం ఎప్పుడూ స్థిరంగా లేని సొరంగాన్ని వివరిస్తుంది.

మొదట మరో సొరంగాన్ని ట్రాఫిక్ మోయనివ్వండి

ఒక కనెక్షన్లో రెండు సొరంగాలు ఉండటం మీ పరికరం రెండింటినీ కాన్ఫిగర్ చేసిందని, రెండూ మీకు అవసరమైన ప్రిఫిక్స్లను ప్రకటిస్తాయని, లేదా వాటి మధ్య ట్రాఫిక్ కదులుతుందని నిరూపించదు. ప్రత్యామ్నాయ సొరంగం యొక్క చర్చలు, దాని మార్గాలు మరియు రెండు దిశల్లో నిజమైన అప్లికేషన్ ప్రవాహాన్ని తనిఖీ చేయండి. BGPతో, సజీవ పొరుగు సంబంధం ఉపయోగకరమైన రుజువు కానీ ప్రిఫిక్స్లను నిర్ధారించడంతో సమానం కాదు. స్థిర రూటింగ్తో, గేట్వే మార్గాన్ని ఎలా ఎంచుకుంటుంది మరియు ఇష్టమైన మార్గం మాయమైనప్పుడు ఏమి చేస్తుంది అని నిర్ధారించండి.

ప్రత్యామ్నాయం పనిభారాన్ని మోయలేకపోతే, కీని తాకే ముందు అంతరాయాన్ని షెడ్యూల్ చేయండి లేదా ప్రత్యామ్నాయ సొరంగాన్ని మరమ్మతు చేయండి. కన్సోల్ పేజీలోని స్థితి దీపం అంతరాయం లేని సేవకు హామీ కాదు.

ఒక సొరంగాన్ని తిప్పండి, తర్వాత నిజమైన ట్రాఫిక్తో ధృవీకరించండి

ప్రత్యామ్నాయ మార్గం నిరూపించబడిన తర్వాత క్రమం చిన్నది. సొరంగం చిరునామా, దాని సహచరుడు మరియు రహస్యం కాని సెట్టింగ్లను నమోదు చేయండి, మరియు మీరు విచ్ఛిన్నం చేయబోయే సొరంగంపై ఆధారపడని నిర్వహణ మార్గాన్ని గేట్వేకు ఉంచుకోండి.

1. ఎంచుకున్న బాహ్య చిరునామా కోసం కస్టమర్ గేట్వే సహచరుడిని నవీకరించండి, లేదా API పిలుపు తర్వాత కొన్ని సెకన్లలో అమలులోకి వచ్చేలా మార్పును సిద్ధం చేయండి.
2. కొత్త కీతో పాటు ప్రస్తుత ఆయుష్షులు మరియు DPD విలువలను చేర్చి మార్పు పిలుపును పంపండి.
3. IKE మరియు IPsec తిరిగి వచ్చే వరకు వేచి ఉండి, తర్వాత మార్గాలు మరియు అవసరమైన ప్రిఫిక్స్లను నిర్ధారించండి.
4. ఆ సొరంగం ద్వారా ప్రతినిధి అప్లికేషన్ ప్రవాహాన్ని పంపి రెండు దిశలను గమనించండి.

చివరలు అంగీకరించనంత వరకు మరియు AWS మార్పును వర్తింపజేస్తున్నంత వరకు సొరంగం ఉపయోగించలేనిది, కాబట్టి సహచరుడి నవీకరణ మధ్యాహ్న భోజనం తర్వాత కాదు, వెంటనే అనుసరించాలి. మార్చిన సొరంగం నిజమైన ట్రాఫిక్ను మోసిన తర్వాతే మరొకదానిపై విధానాన్ని పునరావృతం చేయండి.

మొదటి సొరంగం తర్వాత పునరుద్ధరణ లేదా రూటింగ్ ఇంకా అనిశ్చితంగా ఉంటే ఆపండి. సగం పనిచేసే రెండు సొరంగాలు పనిచేస్తుందని మీకు తెలిసిన ఒకటి కంటే అధ్వాన్నం.

పునరుద్ధరణ నిలిచిపోయినప్పుడు IKE వైపు చదవండి

రెండు చివరలు కొత్త కీని కలిగి ఉన్న తర్వాత కూడా కిందే ఉండే సొరంగం సాధారణంగా తిప్పడం బయటపెట్టిన, సృష్టించని విధాన అసమతౌల్యం. ప్రతిపాదనలు, సహచరుడు పంపే గుర్తింపు మరియు ట్రాఫిక్ ఎంపికకర్తలు అన్నీ AWS వైపుతో అంగీకరించాలి, స్థాపించబడిన సొరంగంలో తట్టుకున్న విలువ కొత్త చర్చల సమయంలో ఇప్పటికీ తిరస్కరించబడవచ్చు. రెండోసారి కీని మార్చే ముందు చర్చల స్థితిని మరియు దానికి జోడించిన సందేశాన్ని చదవండి.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

మార్పును ఉపసంహరించాల్సి వస్తే, ముందు పనిచేసింది అనే కారణంతో మాత్రమే పాత కీని పునరుద్ధరించవద్దు. రాజీపడిన కీని రాజీపడినదిగానే పరిగణించి బదులుగా చర్చలను సరిచేయండి. రెండు సొరంగాలను ధృవీకరించి, ప్రతి సహచరుడు ఏ విలువను కలిగి ఉన్నాడో నమోదు చేయడానికి రహస్యాల జాబితాను నవీకరించి ముగించండి, AWS సొరంగ ఎంపికల పత్రాన్ని రన్బుక్ పక్కన ఉంచండి.