Cách khiến AWS khởi động một đường hầm Site-to-Site VPN
Hành động khởi động và hành động hết thời gian DPD trả lời những câu hỏi khác nhau. Đặt hành động khiến AWS khởi tạo, rồi kiểm tra địa chỉ của peer và tuyến đường của ứng dụng.
Theo mặc định, một AWS Site-to-Site VPN chờ customer gateway bắt đầu thương lượng. Mặc định đó là một cài đặt, không phải luật, và cài đặt đó có tên Startup action. Trước khi chạm tới nó, hãy tách hai câu hỏi luôn bị trộn lẫn: ai dựng đường hầm, và các gói tin bạn quan tâm có tuyến đường đi qua nó hay không. Chỉ câu thứ nhất nằm trong tùy chọn của đường hầm.
Tách hành động khởi động khỏi hành động hết thời gian DPD
Hai tùy chọn cho mỗi đường hầm điều khiển hai sự kiện khác nhau, và đặt một cái không nói gì về cái kia.
| Event | Option | Useful values |
|---|---|---|
| A new or modified VPN connection needs a tunnel | Startup action | add waits for the peer; start asks AWS to initiate |
| Dead peer detection times out | DPD timeout action | clear ends the session, restart reinitiates, none does nothing |
Nếu AWS phải dựng một đường hầm mới hoặc đã thay đổi, hãy chọn start. Nếu AWS cũng phải khởi động lại thương lượng sau khi hết thời gian DPD, hãy cấu hình restart cho sự kiện đó riêng. Không tùy chọn nào là chính sách thử lại của ứng dụng, và không tùy chọn nào là khoảng đổi khóa: DPD kiểm tra peer còn sống hay không, còn đổi khóa thay thế security associations trên một đường hầm đang hoạt động.
Ứng dụng hết thời gian trong khi đường hầm vẫn báo up đang gặp vấn đề trên đường dữ liệu. Rút ngắn bộ đếm DPD sẽ không khắc phục được và có thể thêm xáo trộn mà bạn phải giải thích sau này.
Kiểm tra rằng AWS có nơi để gửi thương lượng
Khởi tạo từ phía AWS chỉ hoạt động với IKEv2, và AWS cần địa chỉ công khai của customer gateway để biết gửi đề xuất đi đâu. Trường hợp đau nhất là tài nguyên customer gateway xác thực bằng chứng chỉ được tạo mà không có địa chỉ: tài liệu AWS mô tả việc tạo tài nguyên customer gateway mới với địa chỉ rồi sửa kết nối VPN để trỏ tới nó.
Chứng chỉ chứng minh peer là ai. Nó không cho AWS biết peer ở đâu, và đó là hai yêu cầu khác nhau. Vì vậy cách khắc phục là một tài nguyên customer gateway mới chứ không phải chứng chỉ mới. Thay chứng chỉ để lại AWS với cùng đích đến còn thiếu.
Nếu customer gateway nằm sau NATAWS cũng cần một responder identity đã cấu hình, IDrđể danh tính của peer khớp với điều thiết bị mong đợi. Xác nhận giá trị đó và đường đi qua tường lửa cho phép lưu lượng IKE trước khi đổ lỗi cho tùy chọn bạn vừa đổi. Chọn start không thể khiến một peer không thể tới hoặc bị nhận diện sai chấp nhận đề xuất.
Áp dụng thay đổi cho một đường hầm và chờ gián đoạn
Một kết nối VPN có hai đường hầm với tùy chọn độc lập, nên hãy xác nhận bằng địa chỉ bên ngoài xem bạn đang sửa cái nào. AWS cho phép sửa một đường hầm mỗi lần, và kết nối qua đường hầm đã chọn có thể bị ngắt vài phút.
- Chọn kết nối Site-to-Site VPN và mở Modify VPN tunnel options.
- Chọn đường hầm theo địa chỉ IP bên ngoài và xác nhận phiên bản IKE cùng tài nguyên customer gateway.
- Đặt các hành động khởi động và DPD mà bạn thực sự muốn, rồi lưu trong khoảng thời gian bạn kiểm soát.
- Xác nhận đường hầm đã sửa được thiết lập, và kiểm tra đường hầm còn lại cùng việc định tuyến trước thay đổi tiếp theo.
Một hành vi đáng chú ý trước khi bảo trì. Khi bật khởi tạo từ AWS thì không có thời gian chờ: AWS tiếp tục thử cho tới khi đường hầm lên, và khởi tạo lại khi customer gateway gửi thông điệp delete-SA. Nếu bạn hạ peer một cách có chủ ý, AWS sẽ tiếp tục gõ cửa, và nhật ký của peer sẽ cho thấy điều đó.
Xác minh đường đi của ứng dụng, không chỉ trạng thái đường hầm
Một đường hầm báo up không giống một yêu cầu đang hoạt động. Hàm Lambda gắn với VPC vẫn cần tuyến subnet tới tiền tố của khách hàng, các quy tắc security group và network ACL cho phép lưu lượng, phân giải tên trả về địa chỉ đúng, và đường quay về phía khách hàng.
Thử một lần bằng yêu cầu thật từ ngữ cảnh ứng dụng, rồi đọc flow logs nếu thất bại. Lưu lượng keepalive là lựa chọn hợp lệ khi khởi tạo từ AWS tắt và một đường hầm rảnh cần gói tin để duy trì, nhưng đó nên là quyết định giám sát mà bạn gọi được tên, không phải một vòng ping không giải thích bắt vít vào hàm.
Trước tiên chọn ai dựng đường hầm, rồi chẩn đoán phần hỏng còn lại ở đúng tầng của nó. Tài liệu của AWS về khởi tạo trình bày các yêu cầu về địa chỉ, danh tính và thử lại chi tiết hơn gợi ý trên bảng điều khiển.