Wolk-VPN-status: lees eers die hulpbronstatus, dan die IKE-log

’n Wolk-VPN-tonnel loop twee lewensiklusse gelyktydig, en hulle is nie op dieselfde klok nie. Die hulpbron moet toegewys en opgestel word voordat dit kan onderhandel, en die protokol het daarna sy eie reeks IKE-boodskappe. ’n Statusveld kan die eerste rapporteer terwyl dit niks nuttigs oor die tweede sê nie. Om hulle as een ding te lees, is hoe ’n sleutelwanverhouding die skuld kry vir ’n voorsieningsvertraging.

Begin met een tonnelobjek en een tydvenster.

Twee lewensiklusse, een tonnelobjek

Die hulpbronlewensiklus is die verskaffer wat die tonnel voorberei: adresse, konfigurasie, kapasiteit. Die protokollewensiklus begin sodra albei porture genoeg konfigurasie het om IKE_SA_INIT uit te ruil, dan IKE_AUTH, dan kind-sekuriteitsassosiasies. ’n Tonnel wat nog in die eerste fase is, het nie met verifikasie misluk nie, want verifikasie is nog nie probeer nie.

Daardie onderskeid is die hele probleem. Al die res is hoe om dit waar te neem sonder om onverwante boodskappe saam te voeg.

Lees die objek, nie die konsole-opsomming nie

Vra die API vir die twee velde wat saak maak en niks anders nie, sodat die antwoord klein genoeg bly om om drie in die oggend te lees: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Die statusveld noem die lewensiklusfase, en detailedStatus dra die leesbare rede wat daaraan gekoppel is. ’n Volle konfigurasie-uitvoer beantwoord ander vrae en is moeiliker om in ’n kaartjie te plak. Sulke lees-alleen-oproepe kan nie die tonnel verander nie, wat saak maak terwyl die voorval nog aan die gang is.

Teken die tydstempel van die oproep langs die waardes aan, want albei velde beweeg.

ALLOCATING_RESOURCES is nie ’n sleutelwanverhouding nie

Wanneer die tonnel ALLOCATING_RESOURCES rapporteer, is die verskaffer nog besig om die objek saam te stel. ’n Vooraf gedeelde sleutel se wanverhouding kan nie in daardie fase waargeneem word nie, en ’n geblokkeerde portuurpoort is ewe onbewys. Wat jy wel kan nagaan, is die gedetailleerde boodskap, of die projek en diens gesond lyk, en of die tonnelkonfigurasie volledig genoeg is vir die portuur om hoegenaamd gekontak te word. Om die geheim nou te vervang, verander ’n waarde wat nooit getoets is nie.

Wag tot die toestand beweeg voordat jy ’n gevolgtrekking oor konfigurasie maak.

ESTABLISHED is die begin van die toegangsproewe

’n Gevestigde tonnel beteken IKE het voltooi, nie dat verkeer vloei nie. Bevestig die roetes wat die tonnel dra en, waar ’n Cloud Router betrokke is, bevestig die BGP-sessie en die prefikse wat dit geleer het. Toets dan ’n toegelate toepassingsruil, want ’n firewallreël of ’n ontbrekende roete kan verkeer deur ’n tonnel blokkeer wat heeltemal gesond is. Elkeen daarvan is ’n aparte waarneming met ’n aparte oplossing.

Status sê vir jou watter vraag om volgende te vra. Dit beantwoord nooit die toegangsvraag vir jou nie.

Korreleer een objek en een tydvenster

’n Oue verifikasiefout in die log hoort by ’n vroeëre poging, tensy sy tydstempel binne die venster val wat jy ondersoek. Trek die logs vir die tonnelhulpbron vir dieselfde minute as die status wat jy aangeteken het, en hou die identifiseerders bymekaar. ’n Latere IKE-gebeurtenis kan wys dat onderhandeling begin het terwyl die konsolboodskap waarna jy staar al verouderd is.

As die tonnel herstel voordat jy enigiets insamel, sê so. ’n Onbepaalde oorsaak is ’n beter rekord as ’n selfversekerde verhaal wat uit onverwante reëls saamgestel is.

Die volgende stap het altyd dieselfde vorm: een objek, een venster, een fase. Enigiets wyer is ’n opsomming, nie ’n diagnose nie.