Status Cloud VPN-a: pročitajte stanje resursa prije IKE zapisnika

Cloud VPN tunel vodi dva životna ciklusa istovremeno i oni nisu na istom satu. Resurs mora biti dodijeljen i konfigurisan prije nego što može pregovarati, a protokol nakon toga ima svoj redoslijed IKE poruka. Polje statusa može prijaviti prvo, a da ne kaže ništa korisno o drugom. Čitanje toga kao jedne stvari je način na koji se neusklađenost ključa okrivi za kašnjenje u pripremi.

Počnite s jednim objektom tunela i jednim vremenskim prozorom.

Dva životna ciklusa, jedan objekat tunela

Životni ciklus resursa je priprema tunela od strane pružaoca: adrese, konfiguracija, kapacitet. Životni ciklus protokola počinje kada obje strane imaju dovoljno konfiguracije za razmjenu IKE_SA_INIT, zatim IKE_AUTH, zatim podređenih sigurnosnih asocijacija. Tunel koji je još u prvoj fazi nije pao na autentikaciji, jer autentikacija još nije pokušana.

Ta razlika je cijeli problem. Sve ostalo je kako je posmatrati bez spajanja nepovezanih poruka.

Čitajte objekat, a ne sažetak u konzoli

Pitajte API za dva polja koja su važna i ništa drugo, da odgovor ostane dovoljno mali da se pročita u tri sata ujutro: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Polje status imenuje fazu životnog ciklusa, a detailedStatus nosi čitljiv razlog koji je uz nju vezan. Potpuni ispis konfiguracije odgovara na druga pitanja i teže ga je zalijepiti u tiket. Ovakvi pozivi samo za čitanje ne mogu promijeniti tunel, što je važno dok je incident još aktivan.

Zapišite vremensku oznaku poziva uz vrijednosti, jer se oba polja mijenjaju.

ALLOCATING_RESOURCES nije neusklađenost ključa

Kada tunel prijavi ALLOCATING_RESOURCES, pružalac još sastavlja objekat. Neusklađenost unaprijed dijeljenog ključa ne može se uočiti u toj fazi, a blokiran port partnera je jednako nedokazan. Ono što možete provjeriti jeste detaljna poruka, izgledaju li projekat i usluga zdravo i je li konfiguracija tunela dovoljno potpuna da se partner uopće može kontaktirati. Zamjena tajne sada mijenja vrijednost koja nikada nije testirana.

Sačekajte da se stanje promijeni prije nego zaključite nešto o konfiguraciji.

ESTABLISHED je početak provjera pristupa

Uspostavljen tunel znači da je IKE završen, a ne da saobraćaj teče. Potvrdite rute koje tunel nosi i, gdje je uključen Cloud Router, potvrdite BGP sesiju i prefikse koje je naučila. Zatim testirajte dozvoljenu razmjenu aplikacije, jer pravilo zaštitnog zida ili ruta koja nedostaje može blokirati saobraćaj kroz potpuno zdrav tunel. Svako od toga je odvojeno posmatranje s odvojenim rješenjem.

Status vam kaže koje pitanje sljedeće postaviti. Nikada umjesto vas ne odgovara na pitanje pristupa.

Povežite jedan objekat i jedan vremenski prozor

Stara greška autentikacije u zapisniku pripada ranijem pokušaju, osim ako njena vremenska oznaka ne pada unutar prozora koji istražujete. Izvucite zapisnike za resurs tunela za iste minute kao zabilježeni status i držite identifikatore zajedno. Kasniji IKE događaj može pokazati da je pregovaranje počelo, dok je poruka u konzoli u koju buljite već zastarjela.

Ako se tunel oporavi prije nego što išta prikupite, recite to. Neodređen uzrok je bolji zapis od samouvjerene priče sastavljene od nepovezanih redova.

Sljedeći korak uvijek ima isti oblik: jedan objekat, jedan prozor, jedna faza. Sve šire je sažetak, ne dijagnoza.