AWS سے Site-to-Site VPN ٹنل کیسے شروع کرائیں
Startup action اور DPD timeout action مختلف سوالات کے جواب دیتے ہیں۔ جو AWS کو شروع کرائے وہ سیٹ کریں، پھر ہم منصب کا پتہ اور ایپ کا راستہ جانچیں۔
بطور طے شدہ، AWS Site-to-Site VPN اس وقت تک انتظار کرتا ہے جب تک customer gateway گفت و شنید شروع نہ کرے۔ وہ طے شدہ ایک سیٹنگ ہے، قانون نہیں، اور سیٹنگ کا نام Startup action ہے۔ اس کی طرف جانے سے پہلے دو سوال الگ کریں جو ہمیشہ مل جاتے ہیں: ٹنل کون بناتا ہے، اور جو پیکٹ آپ کے لیے اہم ہیں ان کا اس میں سے گزرنے کا راستہ ہے یا نہیں۔ صرف پہلا ہی ٹنل کے اختیارات میں ہے۔
شروع کرنے کی کارروائی کو DPD ٹائم آؤٹ کارروائی سے الگ کریں
فی ٹنل دو اختیارات دو مختلف واقعات کو کنٹرول کرتے ہیں، اور ایک سیٹ کرنے سے دوسرے کے بارے میں کچھ نہیں کہا جاتا۔
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
اگر AWS کو نیا یا تبدیل شدہ ٹنل کھڑا کرنا ہے تو منتخب کریں start. اگر AWS کو DPD ٹائم آؤٹ کے بعد گفت و شنید بھی دوبارہ شروع کرنی ہے تو اس واقعے کے لیے الگ سے restart کنفیگر کریں۔ دونوں میں سے کوئی اختیار ایپ کی دوبارہ کوشش کی پالیسی نہیں ہے، اور کوئی کلید تبدیل کرنے کا وقفہ نہیں ہے: DPD دیکھتا ہے کہ ہم منصب زندہ ہے یا نہیں، جبکہ کلید تبدیل کرنا فعال ٹنل پر security associations بدلتا ہے۔
جو ایپ ٹائم آؤٹ ہو جاتی ہے جبکہ ٹنل ابھی up بتا رہا ہو، اس کا مسئلہ ڈیٹا کے راستے میں ہے۔ DPD ٹائمر چھوٹا کرنے سے یہ ٹھیک نہیں ہوگا، اور بعد میں سمجھانی پڑنے والی ہلچل بڑھا سکتا ہے۔
جانچیں کہ AWS کے پاس گفت و شنید بھیجنے کی جگہ ہے
AWS کی طرف سے آغاز صرف IKEv2 کے ساتھ ممکن ہے، اور تجویز کہاں بھیجنی ہے یہ جاننے کے لیے AWS کو customer gateway کا عوامی پتہ درکار ہے۔ سب سے زیادہ تکلیف دہ صورت بغیر پتے کے بنایا گیا سرٹیفکیٹ سے تصدیق شدہ customer gateway وسیلہ ہے: AWS کی دستاویزات پتے کے ساتھ نیا customer gateway وسیلہ بنانے اور پھر VPN کنکشن کو اس کی طرف موڑنے کی وضاحت کرتی ہیں۔
سرٹیفکیٹ ثابت کرتا ہے کہ ہم منصب کون ہے۔ یہ AWS کو نہیں بتاتا کہ ہم منصب کہاں ہے، اور یہ دو مختلف تقاضے ہیں۔ اسی لیے حل نیا سرٹیفکیٹ نہیں بلکہ نیا customer gateway وسیلہ ہے۔ سرٹیفکیٹ بدلنے سے AWS کے پاس وہی گم شدہ منزل رہ جاتی ہے۔
اگر customer gateway NAT کے پیچھے ہو, تو AWS کو کنفیگر شدہ responder identity بھی درکار ہے، IDr, تاکہ ہم منصب کی شناخت ڈیوائس کی توقع سے میل کھائے۔ جس اختیار کو آپ نے ابھی بدلا ہے اسے الزام دینے سے پہلے اس قدر اور IKE ٹریفک گزارنے والے فائر وال راستے کی تصدیق کریں۔ start منتخب کرنا کسی ناقابل رسائی یا غلط شناخت شدہ ہم منصب کو تجویز قبول کرنے پر مجبور نہیں کر سکتا۔
تبدیلی ایک ٹنل پر لاگو کریں اور رکاوٹ کی توقع رکھیں
VPN کنکشن میں آزاد اختیارات والی دو ٹنلیں ہوتی ہیں، اس لیے بیرونی پتے سے تصدیق کریں کہ آپ کون سی ترمیم کر رہے ہیں۔ AWS ایک وقت میں صرف ایک ٹنل تبدیل کرنے کی اجازت دیتا ہے، اور منتخب ٹنل پر کنیکٹیوٹی کچھ منٹ کے لیے ٹوٹ سکتی ہے۔
- Site-to-Site VPN کنکشن منتخب کریں اور Modify VPN tunnel options کھولیں۔
- بیرونی IP پتے سے ٹنل منتخب کریں اور اس کا IKE ورژن اور customer gateway وسیلہ تصدیق کریں۔
- وہ شروع کرنے اور DPD کارروائیاں سیٹ کریں جو آپ واقعی چاہتے ہیں، پھر اپنے کنٹرول والے وقت میں محفوظ کریں۔
- تصدیق کریں کہ تبدیل شدہ ٹنل قائم ہوتی ہے، اور اگلی تبدیلی سے پہلے دوسری ٹنل اور روٹنگ جانچیں۔
دیکھ بھال سے پہلے ایک رویہ توجہ کے قابل ہے۔ AWS آغاز فعال ہونے پر کوئی ٹائم آؤٹ نہیں ہوتا: ٹنل کے اوپر آنے تک AWS کوشش کرتا رہتا ہے، اور customer gateway کے delete-SA پیغام بھیجنے پر دوبارہ شروع کرتا ہے۔ اگر آپ ہم منصب کو جان بوجھ کر بند کریں، تو AWS کھٹکھٹاتا رہے گا، اور ہم منصب کے لاگ یہ دکھائیں گے۔
صرف ٹنل کی حالت نہیں، ایپ کا راستہ تصدیق کریں
up بتانے والی ٹنل کام کرنے والی درخواست کے برابر نہیں۔ VPC سے منسلک Lambda فنکشن کو اب بھی گاہک کے سابقے تک subnet راستہ، ٹریفک کی اجازت دینے والے security group اور network ACL قواعد، درست پتہ واپس کرنے والا نام حل، اور گاہک کی طرف واپسی کا راستہدرکار ہے۔
ایپ کے سیاق سے ایک بار حقیقی درخواست کے ساتھ جانچیں، ناکام ہونے پر flow logs پڑھیں۔ AWS آغاز بند ہونے اور غیر فعال ٹنل کو قائم رہنے کے لیے پیکٹ درکار ہونے پر keepalive ٹریفک جائز اختیار ہے، لیکن یہ آپ کے نام دے سکنے والا نگرانی کا فیصلہ ہونا چاہیے، فنکشن پر لگا کوئی غیر واضح ping لوپ نہیں۔
پہلے طے کریں کہ ٹنل کون بناتا ہے، پھر باقی ناکامی کی تشخیص اس کی اپنی پرت پر کریں۔ AWS کے آغاز سے متعلق دستاویزات کنسول کے اشاروں کی نسبت پتہ، شناخت اور دوبارہ کوشش کی ضروریات زیادہ تفصیل سے بتاتی ہیں۔