Cloud VPN'ning sozlab bo‘lmaydigan chegaralari: IKE umri va peer NAT

Masofaviy qurilmaga 24 soatlik 1-faza umrini bering va Google tomonida hamma narsa to‘g‘ri sozlangan bo‘lsa ham Cloud VPN tunneli pastda qoladi. Peer javob beruvchi qabul qilmaydigan qiymatni taklif qilmoqda, shuning uchun muzokara yo butunlay muvaffaqiyatsiz tugaydi yoki cheksiz qayta boshlanadi. Cloud VPN 1-fazani 36,000 sekundga, ya'ni o‘n soatga cheklaydi va bu chegara siz ko‘tara oladigan sozlama emas. O‘zgarish masofaviy qurilmaga tegishli.

Peer so‘raydi, javob beruvchi qaror qiladi

IKE ikki taklif to‘plami o‘rtasidagi moslashtirish mashqidir. Tunnel faqat to‘plamlar javob beruvchi qabul qiladigan chegaralar ichida kesishgan joyda hosil bo‘ladi, shuning uchun diapazondan tashqari umr hech qanday qisman tunnel yaratmaydi. Odatiy xato — peer konfiguratsiyasini taklif emas, istaklar ro‘yxati deb qarash. Bo‘sh kesishma tunneli pastda qoldiradi, marshrutlash va selektorlar qanchalik to‘g‘ri bo‘lsa ham.

Ish ochishdan oldin tunnelning o‘z holatini o‘qing, chunki batafsil holat odatda muvaffaqiyatsiz bo‘lgan fazani nomlaydi:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Qaytgan narsani shlyuz turi va IKE versiyangiz uchun qo‘llab-quvvatlanadigan to‘plam bilan solishtiring va u yerda bo‘lganingizda ikkala trafik selektorini yozib oling. Selektor nomuvofiqligi algoritm nomuvofiqligi kabi tunnel pastda bo‘lish belgisini beradi va algoritmdan farqli o‘laroq buni o‘zingiz tuzatishingiz kerak.

36,000 sekund — yuqori chegara

1-faza 36,000 sekundda to‘xtaydi. 86,400 ga sozlangan qurilma javob beruvchi hech qachon rozi bo‘lmaydigan narsani so‘raydi va qayta urinish uning fikrini o‘zgartirmaydi. Masofaviy taklifni diapazon ichiga qaytaring va xuddi shu konfiguratsiya o‘rnatiladi; asimmetriya butun saboqdir, chunki o‘z qiymatingizni pasaytira olasiz, Google qiymatini esa ko‘tara olmaysiz.

Tanlangan qiymatni dizayn eslatmalariga yozing. Aks holda keyingi muhandis 24 soatlik tajribani takrorlaydi va xuddi shu devorga uriladi.

Qo‘llab-quvvatlanadigan to‘plam har bir shlyuz turi va IKE versiyasi bo‘yicha bu yerda e'lon qilinadi: Cloud VPN sharhida, shuning uchun umumiy IKE qo‘llanmasi o‘rniga topologiyangiz bo‘limini o‘qing.

Jadval bo‘yicha yiqiladigan tunnel

2-faza boshqacha harakat qiladi: ikki uchi kelishmasa, kalit yangilash qisqaroq intervalga ergashadi. Nomuvofiqlikni halokatli deb bilgan peer tunnelni yiqitadi, shuning uchun bitta nomuvofiqlik ikki aloqasiz nosozlik kabi ko‘rinishi mumkin. Faqat birinchi ulanishni emas, kalit yangilash ritmini ham kuzating. Muntazam taktda ko‘tarilib, keyin yiqiladigan tunnel marshrutlash nuqsonidan ko‘ra ko‘proq umr nomuvofiqligidir.

Biror narsani o‘zgartirishdan oldin o‘sha yiqilish vaqt belgilarini peerning o‘z jurnallari bilan bog‘lang, chunki selektor yoki marshrut o‘zgarishi xuddi shu ritmni taqlid qilishi mumkin. Agar takt 2-faza taymeriga mos kelsa, taklifga tegmasdan sabab topilgan.

To‘plamlar shlyuz turidan keladi

Shifrlash va yaxlitlik to‘plamlari strongSwan kabi tahrirlaydigan har bir tunnel profili emas. Ularni shlyuz turi va IKE versiyasi bo‘yicha tanlaysiz va mavjud bo‘lmagan profilni izlash bir tushdan keyinni yo‘qotadi.

Qo‘llab-quvvatlanadigan to‘plam ichida hech narsa taklif qilmaydigan eski qurilma ikkita halol yo‘l qoldiradi: qurilmani almashtiring yoki o‘zingiz boshqaradigan dasturiy shlyuzda tugatib, u yerdan VPC ga marshrutlang. Qolgan hamma narsa keyingi ko‘rikdan o‘tmaydigan aylanma yechim.

Har bir qurilmaga bitta tashqi manzil

Peerning tashqi manzili uning ichki manziliga bir-ga-bir mos kelishi kerak. Haddan ziyod yuklangan PAT hovuzi ishlay olmaydi, chunki bitta ommaviy manzil ortidagi bir necha xost javob beruvchiga ularni ajratishning hech qanday yo‘lini bermaydi. Bir necha xost manzilni bo‘lishishi kerak bo‘lsa, tunnel ularni ajrata oladigan joyda tugashi kerak.

O‘sha tashqi manzilni ham barqaror saqlang. Qurilmani boshqa NAT ortiga ko‘chirsangiz, har bir taklif hali ham mos kelsa-da, bog‘lanish uziladi. Qaysi qiymatlar Googlega va qaysilari sizga tegishli ekanini yozib qo‘yish arziydi: umrlar, to‘plamlar va bir-ga-bir NAT ularning tomonida qat'iy, takliflar, selektorlar, marshrutlash va BGP ustuvorliklari esa sizniki.