AWS'ni Site-to-Site VPN tunnelini boshlashga qanday majburlash mumkin
Ishga tushirish amali va DPD taymaut amali turli savollarga javob beradi. AWS'ni boshlashga majbur qiladiganini o‘rnating, so‘ng hamkorning manzili va ilova yo‘lini tekshiring.
Standart bo‘yicha AWS Site-to-Site VPN customer gateway muzokaralarni boshlashini kutadi. Bu standart qonun emas, sozlama bo‘lib, sozlama Startup action deb ataladi. Unga murojaat qilishdan oldin doim aralashib ketadigan ikki savolni ajrating: tunnelni kim quradi va sizga muhim paketlarning u orqali yo‘li bormi. Faqat birinchisi tunnel parametrlarida.
Ishga tushirish amalini DPD taymaut amalidan ajrating
Har bir tunnel uchun ikki sozlama ikki xil hodisani boshqaradi va birini sozlash ikkinchisi haqida hech narsa demaydi.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Agar AWS yangi yoki o‘zgartirilgan tunnelni ko‘tarishi kerak bo‘lsa, tanlang start. Agar AWS DPD taymautidan keyin muzokaralarni ham qayta boshlashi kerak bo‘lsa, o‘sha hodisa uchun alohida restart ni sozlang. Ikkala sozlama ham ilovaning qayta urinish siyosati emas va ikkalasi ham kalit almashtirish oralig‘i emas: DPD hamkor tirikligini tekshiradi, kalit almashtirish esa ishlab turgan tunnelda security associations ni almashtiradi.
Tunnel hali up deb xabar berayotganda taymautga uchragan ilova maʼlumot yo‘lida muammoga ega. DPD taymerini qisqartirish buni tuzatmaydi va keyin tushuntirishga to‘g‘ri keladigan tartibsizlikni qo‘shishi mumkin.
AWS'ning muzokaralarni yuboradigan joyi borligini tekshiring
AWS tomondan boshlash faqat IKEv2 bilan ishlaydi va AWS taklifni qayerga yuborishni bilish uchun customer gateway'ning ommaviy manziliga muhtoj. Eng og‘riqli holat — manzilsiz yaratilgan, sertifikat bilan autentifikatsiyalangan customer gateway resursi: AWS hujjatlari manzil bilan yangi customer gateway resursini yaratib, so‘ng VPN ulanishini unga yo‘naltirishni tavsiflaydi.
Sertifikat hamkor kimligini isbotlaydi. U AWS'ga hamkor qayerdaligini aytmaydi va bu ikki xil talab. Shuning uchun yechim yangi sertifikat emas, yangi customer gateway resursi. Sertifikatni almashtirish AWS'ni o‘sha yetishmayotgan manzil bilan qoldiradi.
Agar customer gateway NAT orqasida bo‘lsa, AWS'ga sozlangan responder identity ham kerak, IDr, hamkor identifikatsiyasi qurilma kutgan narsaga mos kelishi uchun. Hozir o‘zgartirgan sozlamani ayblashdan oldin o‘sha qiymatni va IKE trafigini o‘tkazadigan xavfsizlik devori yo‘lini tasdiqlang. start ni tanlash yetib bo‘lmaydigan yoki noto‘g‘ri aniqlangan hamkorni taklifni qabul qilishga majburlay olmaydi.
O‘zgarishni bitta tunnelga qo‘llang va uzilishni kuting
VPN ulanishida mustaqil sozlamalarga ega ikki tunnel bor, shuning uchun tashqi manzil bo‘yicha qaysinisini tahrirlayotganingizni tasdiqlang. AWS bir vaqtda faqat bitta tunnelni o‘zgartirishga ruxsat beradi va tanlangan tunnel orqali ulanish bir necha daqiqaga uzilishi mumkin.
- Site-to-Site VPN ulanishini tanlang va Modify VPN tunnel options ni oching.
- Tunnelni tashqi IP manzil bo‘yicha tanlang va uning IKE versiyasi hamda customer gateway resursini tasdiqlang.
- Haqiqatan xohlagan ishga tushirish va DPD amallarini sozlang, so‘ng o‘zingiz nazorat qiladigan vaqt oynasida saqlang.
- O‘zgartirilgan tunnel o‘rnatilishini tasdiqlang va keyingi o‘zgarishdan oldin boshqa tunnel va marshrutlashni tekshiring.
Texnik xizmatdan oldin bir xatti-harakat diqqatga sazovor. AWS boshlashi yoniq bo‘lsa taymaut yo‘q: AWS tunnel ko‘tarilmaguncha urinadi va customer gateway delete-SA xabarini yuborganda yana boshlaydi. Hamkorni ataylab o‘chirsangiz, AWS taqillatishda davom etadi va hamkor jurnallari buni ko‘rsatadi.
Faqat tunnel holatini emas, ilova yo‘lini tekshiring
up deb xabar beradigan tunnel ishlayotgan so‘rov bilan bir xil emas. VPC'ga ulangan Lambda funksiyasiga hali ham mijoz prefiksiga subnet marshruti, trafikni ruxsat etuvchi security group va network ACL qoidalari, to‘g‘ri manzilni qaytaruvchi nom yechimi va mijoz tomonida qaytish yo‘likerak.
Ilova kontekstidan bir marta haqiqiy so‘rov bilan sinab ko‘ring, muvaffaqiyatsiz bo‘lsa flow logs o‘qing. AWS boshlashi o‘chirilgan va bo‘sh tunnel turish uchun paketlarga muhtoj bo‘lganda keepalive trafigi qonuniy variant, lekin bu funksiyaga mahkamlangan tushunarsiz ping halqasi emas, nom bera oladigan monitoring qarori bo‘lishi kerak.
Avval tunnelni kim qurishini tanlang, so‘ng qolgan nosozlikni uning o‘z qatlamida tashxislang. AWS'ning boshlash haqidagi hujjatlari manzil, identifikatsiya va qayta urinish talablarini konsol maslahatlariga qaraganda batafsil yoritadi.