هل ينبغي تفعيل سجلات نفق AWS VPN على نفق مباشر؟

تشغيل سجلات نشاط النفق في VPN من نوع Site-to-Site تغيير صغير قد يُسقط النفق الذي يقيسه. تحذّر AWS من أن تفعيل التسجيل على نفق قائم قد يقطعه لعدة دقائق، لذا فالسؤال المثير للاهتمام ليس كيف نقلب العلامة بل على أي نفق نقلبها ومتى. ثلاث حالات تحدد الترتيب: هل يحمل النفق الآخر المسارات فعلاً، وهل تحتاج أحداث الخدمة أم أحداث BGP، وهل يمر التغيير عبر وحدة التحكم أم عبر واجهة برمجة خيارات النفق. أخطئ في ذلك فتجد نفسك إما بانقطاع وإما بمجموعة سجلات مليئة باللا شيء.

ثلاث حالات تحدد الترتيب

ابدأ بهوية الشيء الذي تغيّره. تحتاج إلى معرّف اتصال VPN والمنطقة وعنوان IP الخارجي للنفق المحدد، لأن كل إعداد سجل في هذه الميزة لكل نفق لا لكل اتصال. التغيير المطبَّق على عنوان خارجي خاطئ هو تغيير على نفق لا يصحّحه أحد.

الوجهة هي مجموعة سجلات CloudWatch في المنطقة نفسها، بسياسة الاحتفاظ والوصول التي تريدها فعلاً. توصي AWS بالبادئة /aws/vendedlogs/ لهذه المجموعات لأنها تتجنب حدود حجم سياسة الموارد التي قد تصطدم بها الأسماء العادية. اسم مثل /aws/vendedlogs/vpn/branch-a-activity هو مثال توضيحي فقط؛ المهم أن المجموعة موجودة، وأن دور التسليم يستطيع الكتابة فيها، وأن كليهما يديره من يملك إعداد VPN. الاسم لا يمنح أذونات، والمجموعة التي تُنشأ دون سياسة التسليم تنتج صمتاً لا خطأ.

الحالة الأولى: نفق احتياطي يحمل حركة فعلية

هذه هي الحالة التي تتخطاها الفرق. وجود نفقين مُعدَّين ليس دليلاً على أن التطبيق لديه مسار بديل صالح.

قبل أن تلمس نفقاً واحداً، تأكد من أن النفق الآخر يحمل المسارات المهمة: افحص جدول التوجيه على جانب بوابة العميل، ثم تأكد من أن التطبيق يستطيع التبديل فعلياً. نافذة الانقطاع عند AWS دقائق لا ثوانٍ، والنفق الموجود على الورق فقط يحوّل تغييراً تشخيصياً إلى انقطاع. إذا لم يكن المسار الاحتياطي مُثبتاً، فجدوِل التغيير بالعناية نفسها التي تعطيها أي تغيير توجيه آخر بدلاً من اعتبار التسجيل أمراً سلبياً. راقب النفق الذي تحاول تفسير سلوكه، لا النفق الأسهل وصولاً.

الحالة الثانية: سجل النشاط أم سجل BGP

هذه الحالة تحدد ما ستستطيع قراءته فعلاً. تغطي سجلات النشاط أحداث الخدمة مثل انتقالات حالة IKE وIPsec ورسائل DPD، وهو ما تريده عندما لا ينهض النفق أو يستمر في إعادة توليد المفاتيح. سجلات BGP تيار منفصل بضوابطه الخاصة، وتجيب على سؤال مختلف: هل جرى تبادل المسارات وسحبها كما هو متوقع.

تفعيل علامة النشاط ليس طلباً لكل تيار يمكن للخدمة أن تصدره. إذا كان الشك في التوجيه، فعّل الاثنين؛ وإذا كان الشك في تفاوض المرحلة 1 أو المرحلة 2، فتيار النشاط هو الذي سيُظهره.

لا أحد من التيارين هو التقاط حزم، وهذا التمييز يحسم تذاكر أكثر مما ينبغي. تخبرك سجلات النشاط وBGP بما فعلته الخدمة بالنفق والجلسة، لا بما أرسله تطبيقك عبرها. اللجوء إلى سجلات النفق لتنقيح مهلة تطبيق خطأ في التصنيف، وعادة ما يكلف نافذة انقطاع قبل أن يلاحظ أحد. اختر السؤال أولاً، ثم التيار الذي يمكنه الإجابة عليه.

الحالة الثالثة: تغيير من وحدة التحكم أم من واجهة خيارات النفق

إذا كان إنسان يجري تغييراً لمرة واحدة، فمسار وحدة التحكم مناسب: VPC console، Site-to-Site VPN connections، اختر الاتصال، Actions، Modify VPN tunnel options، اختر outside IP، فعّل Tunnel activity log، اختر المجموعة وصيغة الإخراج، واحفظ داخل النافذة. إذا كانت VPN تُدار ككود، فالنقرة نفسها انحراف ستوفّقه لاحقاً.

بالنسبة للأتمتة، لجزء سجل النشاط من خيارات النفق شكل ثابت: LogOptions يحتوي CloudWatchLogOptions مع LogEnabled و LogGroupArn و LogOutputFormat. هذا الكتلة جزء لا طلب؛ فلا تزال modify-vpn-tunnel-options تحتاج معرّف الاتصال وعنوان IP الخارجي للنفق، ويجب على من يملك القالب الحفاظ على إعدادات النفق المتبقية. يستخدم تسجيل BGP مفاتيحه الخاصة BgpLogEnabled و BgpLogGroupArn و BgpLogOutputFormat في البنية نفسها. اقرأ التغيير مرة أخرى باستخدام describe-vpn-connections بدلاً من الثقة بأن الاستدعاء طُبّق.

ما يمكن للسجلات أن تخبرك به وما لا يمكن

بعد إنجاز النفق الأول وتوفر المسار المقصود، أعد التسلسل المضبوط نفسه للنفق الثاني إذا كنت تحتاج سجلاته أيضاً. نفق واحد في كل مرة هو بيت القصيد.

تصل السجلات في تيارات تُعرَّف بالاتصال والعنوان الخارجي للنفق، لذا اربطها بذلك الهوية بدلاً من توقع ظهور التاريخ بأثر رجعي. لا شيء قبل التغيير موجود، ولا يملأ الانتظار الفجوة مهما طال. إذا كنت تحتاج خط أساس، فالتقط حالة النفق وجدول التوجيه الحاليين قبل التغيير ليكون هناك شيء تقارن به.

أبقِ مجموعة السجلات واحتفاظها وأذونات تسليمها وكتلة خيارات النفق في الجرد نفسه مع VPN نفسها، لأنها إعداد واحد موزع على أربعة أماكن. توثّق إجراء تفعيل السجلات في AWS سير العمل لكل نفق وتحذير الانقطاع، ويستحق القراءة قبل التغيير لا بعده. ثم تحقق بالترتيب: عاد النفق، والسجلات تظهر في التيار المتوقع، والسجلات تجيب على السؤال الذي فتحت التذكرة من أجله. إذا فشل الثالث، فالمشكلة كانت اختيار التيار لا التسجيل.