AWS'in bir Site-to-Site VPN tünelini başlatmasını nasıl sağlarsınız
Başlatma eylemi ile DPD zaman aşımı eylemi farklı soruları yanıtlar. AWS'i başlatanı ayarlayın, ardından eşin adresini ve uygulamanın yolunu kontrol edin.
Varsayılan olarak bir AWS Site-to-Site VPN, customer gateway'in görüşmeyi başlatmasını bekler. Bu varsayılan bir ayardır, yasa değildir ve ayarın adı Startup action'dır. Ona uzanmadan önce sürekli birbirine karışan iki soruyu ayırın: tüneli kim kuruyor ve önemsediğiniz paketlerin içinden geçen bir rotası var mı. Tünel seçeneklerinde yalnızca ilki bulunur.
Başlatma eylemini DPD zaman aşımı eyleminden ayırın
Tünel başına iki seçenek iki farklı olayı yönetir ve birini ayarlamak diğeri hakkında hiçbir şey söylemez.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
AWS yeni veya değiştirilmiş bir tünel kurmalıysa şunu seçin: start. AWS, DPD zaman aşımından sonra görüşmeyi de yeniden başlatmalıysa o olay için ayrıca restart ayarını yapın. İki seçenekten hiçbiri uygulamanın yeniden deneme ilkesi değildir ve hiçbiri anahtar yenileme aralığı değildir: DPD eşin canlı olup olmadığını denetler, anahtar yenileme ise canlı bir tüneldeki security associations'ı değiştirir.
Tünel hâlâ up bildirirken zaman aşımına uğrayan uygulama, veri yolunda sorun yaşıyor demektir. DPD zamanlayıcısını kısaltmak bunu düzeltmez ve sonra açıklamanız gereken karışıklık ekleyebilir.
AWS'in görüşmeyi gönderecek bir yeri olduğunu doğrulayın
AWS tarafından başlatma yalnızca IKEv2 ile çalışır ve AWS'in teklifi nereye göndereceğini bilmesi için customer gateway'in genel adresine ihtiyacı vardır. En çok can yakan durum, adres olmadan oluşturulmuş sertifika ile kimlik doğrulamalı customer gateway kaynağıdır: AWS belgeleri, adresle yeni bir customer gateway kaynağı oluşturmayı ve ardından VPN bağlantısını ona işaret edecek şekilde değiştirmeyi anlatır.
Sertifika, eşin kim olduğunu kanıtlar. Eşin nerede olduğunu AWS'e söylemez ve bunlar iki farklı gereksinimdir. Bu yüzden çözüm yeni bir sertifika değil, yeni bir customer gateway kaynağıdır. Sertifikayı değiştirmek AWS'i aynı eksik hedefle baş başa bırakır.
Customer gateway NAT arkasındaysa, AWS'in yapılandırılmış bir responder identity'ye de ihtiyacı vardır, IDr, böylece eşin kimliği cihazın beklediğiyle eşleşir. Az önce değiştirdiğiniz seçeneği suçlamadan önce bu değeri ve IKE trafiğini geçiren güvenlik duvarı yolunu doğrulayın. start seçmek, erişilemeyen veya yanlış tanımlanmış bir eşi teklifi kabul etmeye zorlayamaz.
Değişikliği tek bir tünele uygulayın ve kesinti bekleyin
Bir VPN bağlantısının bağımsız seçenekleri olan iki tüneli vardır, bu yüzden dış adresinden hangisini düzenlediğinizi doğrulayın. AWS aynı anda yalnızca bir tünelin değiştirilmesine izin verir ve seçilen tünel üzerinden bağlantı birkaç dakika kesilebilir.
- Site-to-Site VPN bağlantısını seçin ve Modify VPN tunnel options'ı açın.
- Tüneli dış IP adresine göre seçin ve IKE sürümünü ve customer gateway kaynağını doğrulayın.
- Gerçekten istediğiniz başlatma ve DPD eylemlerini ayarlayın, sonra denetlediğiniz bir zaman aralığında kaydedin.
- Değiştirilen tünelin kurulduğunu doğrulayın ve bir sonraki değişiklikten önce diğer tüneli ve yönlendirmeyi kontrol edin.
Bakımdan önce bir davranış dikkat çekiyor. AWS başlatması açıkken zaman aşımı yoktur: AWS tünel kalkana kadar denemeye devam eder ve customer gateway delete-SA iletisi gönderdiğinde yeniden başlatır. Eşi bilerek kapatırsanız AWS kapıyı çalmaya devam eder ve eşin günlükleri bunu gösterir.
Yalnızca tünelin durumunu değil, uygulamanın yolunu doğrulayın
up bildiren bir tünel, çalışan bir istekle aynı şey değildir. Bir VPC'ye bağlı Lambda fonksiyonunun hâlâ müşteri önekine subnet rotası, trafiğe izin veren security group ve network ACL kuralları, doğru adresi döndüren ad çözümlemesi ve müşteri tarafında bir dönüş yolugerekir.
Uygulamanın bağlamından gerçek bir istekle bir kez test edin, başarısız olursa flow logs okuyun. AWS başlatması kapalıyken ve boştaki bir tünel ayakta kalmak için pakete ihtiyaç duyduğunda keepalive trafiği meşru bir seçenektir, ancak bu bir fonksiyona cıvatalanmış açıklanamayan bir ping döngüsü değil, adını koyabildiğiniz bir izleme kararı olmalıdır.
Önce tüneli kimin kurduğunu seçin, sonra kalan arızayı kendi katmanında teşhis edin. AWS'in başlatma belgeleri adres, kimlik ve yeniden deneme gereksinimlerini konsol ipuçlarından daha ayrıntılı ele alır.