AWS VPN PSK-ni aylantirish: qaysi tunnel tushadi va qachon

AWS VPN tunnelining bitta oldindan bo'lishilgan kalitini o'zgartirish o'sha tunnelni ikki tomon kelishmaguncha tushiradi. Avval muqobil yo'lni isbotlang, so'ng tunellarni birma-bir aylantiring.

Tunnel ikki uchi oldindan bo'lishilgan kalit bo'yicha kelishmagan lahzada tushadi va ikki tomon yangi qiymatni olib yurguncha pastda qoladi. Bu qism kutilgan: AWS o'zgarishni tanlangan tunnelning uzilishi deb biladi va kalitlar farq qilguncha sherik IKE-ni tugatmaydi. Odamlarni hayratga soladigan narsa ikkinchi yarmi. Boshqa tunnel trafikni o'zi qabul qilmaydi, agar uning buni ko'tara olishini tekshirmagan bo'lsangiz. Shu tartibda aylantiring va uzilish bitta tunnel ichida qoladi.

Kalit o'zgarganda aslida nima bo'ladi

ModifyVpnTunnelOptions bitta tunnelning parametrlarini qayta yozadi, u tashqi IP manzili bilan aniqlanadi. Tunnel buzilib, qaytadan quriladi, shuning uchun IKE va IPsec yangi kalit bilan noldan muzokara qiladi. AWS uzilish bir necha daqiqa davom etishi mumkinligini aytadi, bu esa marshrutlash protokoli buni payqashi uchun yetarlicha uzoq. Xuddi shu ulanishdagi ikkinchi tunnelga bu chaqiruv tegmaydi.

Biror narsa yuborishdan oldin bilishga arziydigan ikkinchi ta'sir bor. O'zgartirish amali tunnel parametrlarining to'liq to'plamini oladi, shuning uchun qoldirib ketgan maydon o'z standart qiymati bilan qayta yoziladi. Agar 1- yoki 2-bosqich umrini yoki o'lik sherikni aniqlash sozlamalarini sozlagan bo'lsangiz, joriy qiymatlarni o'sha so'rovda bering yoki keyin tiklashni rejalashtiring.

Avval joriy qiymatlarni o'qing, keyin bitta maydonni o'zgartiring. Bu tartib — bu ishning butun intizomi.

Avval AWS tunnelini to'g'ri sherik bilan moslang

Konsol tunellarni tartib bo'yicha belgilaydi, qurilmangiz esa bu belgidan foydalanmaydi. Tunnelni tashqi IP manzili bilan aniqlang va uni mijoz shlyuzidagi sherik bo'limi bilan moslang. Mahalliy konfiguratsiyadagi 1-tunnel AWS 1-tunnel deb ataydigan tunnelni tahrirlayotganingizning isboti emas.

Ulanishning o'zidan boshlang, u ikkala tunnelni va har biri hozir tutib turgan kalitni sanab o'tadi:

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,PreSharedKey]"

Qaytgan kalit — hozir ishlatilayotgan kalit. Biror narsani o'zgartirishdan oldin uni sherik konfiguratsiyasi bilan solishtiring, chunki avvaldan mavjud nomuvofiqlik hech qachon barqaror bo'lmagan tunnelni tushuntiradi.

Avval ikkinchi tunnelga trafikni ko'tarishga ruxsat bering

Bitta ulanishdagi ikkita tunnel qurilmangiz ikkalasini ham sozlaganini, ikkalasi ham sizga kerakli prefikslarni e'lon qilishini yoki ular orasida trafik yurishini isbotlamaydi. Muqobil tunnelning muzokarasini, uning marshrutlarini va ikki yo'nalishdagi haqiqiy ilova oqimini tekshiring. BGP bilan tirik qo'shnichilik foydali dalil, lekin prefikslarni tasdiqlash bilan bir xil emas. Statik marshrutlashda shlyuz yo'lni qanday tanlashini va afzal yo'l yo'qolganda nima qilishini tasdiqlang.

Agar muqobil ish yukini ko'tara olmasa, kalitga tegishdan oldin uzilishni rejalashtiring yoki muqobil tunnelni tuzating. Konsol sahifasidagi holat chirog'i uzluksiz xizmat va'dasi emas.

Bitta tunnelni aylantiring, so'ng haqiqiy trafik bilan tekshiring

Muqobil yo'l isbotlangandan keyin tartib qisqa. Tunnel manzilini, uning sherigini va maxfiy bo'lmagan sozlamalarni yozib oling va shlyuzga siz uzmoqchi bo'lgan tunnelga bog'liq bo'lmagan boshqaruv yo'lini saqlang.

  1. Tanlangan tashqi manzil uchun mijoz shlyuzi sherigini yangilang yoki o'zgarishni API chaqiruvidan bir necha soniya o'tib kuchga kiradigan qilib tayyorlang.
  2. O'zgartirish chaqiruvini yangi kalit, joriy umrlar va DPD qiymatlari bilan birga yuboring.
  3. IKE va IPsec qaytib kelishini kuting, so'ng marshrutlar va kerakli prefikslarni tasdiqlang.
  4. Shu tunnel orqali vakillik ilova oqimini o'tkazing va ikki yo'nalishni kuzating.

Uchlar kelishmaguncha va AWS o'zgarishni qo'llaguncha tunnel yaroqsiz, shuning uchun sherik yangilanishi tushlikdan keyin emas, darhol ergashishi kerak. O'zgartirilgan tunnel haqiqiy trafikni ko'targandagina protsedurani ikkinchisida takrorlang.

Birinchi tunneldan keyin tiklanish yoki marshrutlash hali noaniq bo'lsa to'xtang. Yarim ishlaydigan ikkita tunnel ishlashini bilgan bittasidan yomonroq.

Tiklanish tiqilib qolsa, IKE tomonini o'qing

Ikki uchi yangi kalitni tutgandan keyin ham pastda qoladigan tunnel odatda aylantirish ochgan, yaratmagan siyosat nomuvofiqligi. Takliflar, sherik yuboradigan shaxsiyat va trafik selektorlari — barchasi AWS tomoniga mos kelishi kerak, va o'rnashgan tunnelda omon qolgan qiymat yangi muzokara paytida baribir rad etilishi mumkin. Kalitni ikkinchi marta o'zgartirishdan oldin muzokara holati va unga ilova qilingan xabarni o'qing.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query "VpnConnections[0].VgwTelemetry[].[OutsideIpAddress,Status,StatusMessage]"

Agar o'zgarishni qaytarish kerak bo'lsa, eski kalitni faqat ilgari ishlaganligi uchun tiklamang. Buzilgan kalitni buzilgan deb hisoblang va o'rniga muzokarani tuzating. Ikkala tunnelni tekshirib, har bir sherik qaysi qiymatni tutishini yozib qo'yishi uchun sirlar ro'yxatini yangilab tugating, AWS tunnel parametrlari hujjatini esa runbook yonida saqlang.

O'xshash maqolalar