AWS VPN tunel jurnallarını canlı tuneldə aktivləşdirmək lazımdırmı?

Site-to-Site VPN üçün tunel fəaliyyət jurnallarını yandırmaq, ölçdüyü tuneli yerə sala bilən kiçik bir dəyişiklikdir. AWS xəbərdarlıq edir ki, mövcud tuneldə qeydiyyatı aktivləşdirmək onu bir neçə dəqiqəlik kəsə bilər, ona görə maraqlı sual bayrağı necə çevirmək deyil, hansı tuneldə və nə vaxt çevirməkdir. Üç şərt sıranı müəyyən edir: digər tunel marşrutları həqiqətən daşıyırmı, sizə xidmət hadisələri lazımdır, yoxsa BGP hadisələri, və dəyişiklik konsoldan, yoxsa tunel parametrləri API-dən keçir. Bunları səhv etsəniz, nəticə ya kəsinti, ya da boş jurnal qrupu olur.

Üç şərt sıranı müəyyən edir

Dəyişdiyiniz şeyin kimliyindən başlayın. VPN bağlantısı ID-si, Region və konkret tunelin xarici IP ünvanı lazımdır, çünki bu funksiyadakı hər jurnal parametri bağlantıya deyil, tunelə görədir. Səhv xarici ünvana tətbiq edilən dəyişiklik, heç kimin düzəltmədiyi tunelə edilən dəyişiklikdir.

Təyinat eyni Regionda olan CloudWatch jurnal qrupudur və onda həqiqətən istədiyiniz saxlama və giriş siyasəti olur. AWS bu qruplar üçün /aws/vendedlogs/ prefiksini tövsiyə edir, çünki bu, adi adların rastlaşa biləcəyi resurs siyasəti ölçü limitlərindən yan keçir. /aws/vendedlogs/vpn/branch-a-activity kimi ad yalnız nümunədir; vacib olan qrupun mövcudluğu, çatdırılma rolunun ora yaza bilməsi və hər ikisinin VPN konfiqurasiyasının sahibi tərəfindən idarə olunmasıdır. Ad icazə vermir və çatdırılma siyasəti olmadan yaradılan qrup xəta deyil, sükut yaradır.

Birinci şərt: həqiqətən trafik daşıyan ehtiyat tunel

Bu, komandaların atladığı şərtdir. İki konfiqurasiya edilmiş tunel tətbiqin işlək alternativ yolu olduğunu sübut etmir.

Bir tunelə toxunmazdan əvvəl digərinin vacib marşrutları daşıdığını təsdiqləyin: müştəri şlüzə tərəfində marşrut cədvəlini yoxlayın və tətbiqin həqiqətən keçid edə bildiyini təsdiqləyin. AWS-in kəsinti pəncərəsi saniyələr deyil, dəqiqələrdir və yalnız kağızda mövcud olan tunel diaqnostik dəyişikliyi kəsintiyə çevirir. Ehtiyat yol sübut olunmayıbsa, qeydiyyatı passiv saymaq əvəzinə dəyişikliyi hər hansı digər marşrut dəyişikliyi kimi ehtiyatla planlaşdırın. Davranışını izah etməyə çalışdığınız tuneli ölçün, çatmaq daha asan olanı deyil.

İkinci şərt: fəaliyyət jurnalı, yoxsa BGP jurnalı

Bu şərt həqiqətən nəyi oxuya biləcəyinizi müəyyən edir. Fəaliyyət qeydləri IKE və IPsec vəziyyət keçidləri və DPD mesajları kimi xidmət hadisələrini əhatə edir; tunel qalxmırsa və ya daim açar yeniləyirsə, istədiyiniz budur. BGP qeydləri öz nəzarətləri olan ayrı axındır və başqa suala cavab verir: marşrutlar gözlənildiyi kimi mübadilə və geri çəkilirmi.

Fəaliyyət bayrağını aktivləşdirmək xidmətin buraxa biləcəyi hər axın üçün sorğu deyil. Şübhə marşrutlaşdırmadırsa, ikisini də aktivləşdirin; şübhə faza 1 və ya faza 2 danışıqlarıdırsa, bunu göstərəcək axın fəaliyyət axınıdır.

Heç bir axın paket tutma deyil və bu fərq lazım olduğundan çox bilet həll edir. Fəaliyyət və BGP qeydləri xidmətin tunel və sessiya ilə nə etdiyini deyir, tətbiqinizdən keçənin nə olduğunu deyil. Tətbiq taym-autunu sazlamaq üçün tunel jurnallarına əl atmaq kateqoriya səhvidir və adətən kimsə fərqinə varmazdan əvvəl bir kəsinti pəncərəsinə başa gəlir. Əvvəlcə sualı seçin, sonra ona cavab verə bilən axını.

Üçüncü şərt: konsol dəyişikliyi, yoxsa tunel parametrləri API-si

Bir insan birdəfəlik dəyişiklik edirsə, konsol yolu uyğundur: VPC console, Site-to-Site VPN connections, bağlantını seçin, Actions, Modify VPN tunnel options, xarici IP-ni seçin, Tunnel activity log-u aktivləşdirin, qrupu və çıxış formatını seçin, pəncərə içində yadda saxlayın. VPN kod kimi idarə olunursa, eyni klik sonra düzəldəcəyiniz sürüşmədir.

Avtomatlaşdırma üçün tunel parametrlərinin fəaliyyət jurnalı hissəsinin sabit forması var: LogOptions bloku CloudWatchLogOptions-ü ehtiva edir və içində LogEnabled, LogGroupArn və LogOutputFormat sahələri var. Bu blok fraqmentdir, sorğu deyil; modify-vpn-tunnel-options hələ də bağlantı ID-sini və tunelin xarici IP-sini tələb edir, qalan tunel parametrlərini isə şablonun sahibi qorumalıdır. BGP qeydiyyatı eyni strukturda öz BgpLogEnabled, BgpLogGroupArn və BgpLogOutputFormat açarlarından istifadə edir. Dəyişikliyi çağırışın tətbiq olunduğuna güvənmək əvəzinə describe-vpn-connections ilə geri oxuyun.

Qeydlərin sizə nə deyə biləcəyi və bilmədiyi

Birinci tunel bitib nəzərdə tutulan yol mövcud olduqdan sonra, ikinci tunelin də qeydləri lazımdırsa, eyni nəzarətli ardıcıllığı onun üçün təkrarlayın. Bir dəfə bir tunel bütün məsələnin özüdür.

Qeydlər bağlantı və tunelin xarici ünvanı ilə müəyyən edilən axınlarda gəlir, ona görə tarixin geriyə doğru görünəcəyini gözləmək əvəzinə həmin kimliyə görə korrelyasiya edin. Dəyişiklikdən əvvəl heç nə yoxdur və nə qədər gözləsəniz də boşluq dolmur. Baza xətti lazımdırsa, müqayisə üçün bir şey olsun deyə dəyişiklikdən əvvəl cari tunel vəziyyətini və marşrut cədvəlini qeyd edin.

Jurnal qrupunu, onun saxlanmasını, çatdırılma icazələrini və tunel parametrləri blokunu VPN-in özü ilə eyni inventarda saxlayın, çünki bunlar dörd yerə yayılmış bir konfiqurasiyadır. AWS-in qeydiyyatı aktivləşdirmə proseduru tunel üzrə iş axınını və onun kəsinti xəbərdarlığını sənədləşdirir və onu dəyişiklikdən sonra deyil, əvvəl oxumağa dəyər. Sonra sıra ilə yoxlayın: tunel geri qayıtdı, qeydlər gözlənilən axında görünür və qeydlər bilet açdığınız suala cavab verir. Üçüncüsü uğursuz olarsa, problem qeydiyyatda deyil, axının seçimində idi.