Stav Cloud VPN: přečtěte stav prostředku dřív než log IKE

Tunel Cloud VPN provozuje dva životní cykly najednou a nejdou na stejných hodinkách. Prostředek musí být přidělen a nakonfigurován, než může vyjednávat, a protokol má potom vlastní sled zpráv IKE. Pole stavu může hlásit první, a přitom neříct nic užitečného o druhém. Číst je jako jednu věc je způsob, jak se neshoda klíče obviní ze zpoždění zřizování.

Začněte jedním objektem tunelu a jedním časovým oknem.

Dva životní cykly, jeden objekt tunelu

Životní cyklus prostředku je příprava tunelu poskytovatelem: adresy, konfigurace, kapacita. Životní cyklus protokolu začíná, když obě strany mají dost konfigurace k výměně IKE_SA_INIT, potom IKE_AUTH, potom podřízených bezpečnostních asociací. Tunel, který je stále v první fázi, neselhal v autentizaci, protože autentizace ještě nebyla vyzkoušena.

Právě tento rozdíl je celý problém. Všechno ostatní je otázka, jak to pozorovat, aniž bychom slévali nesouvisející zprávy.

Čtěte objekt, ne shrnutí v konzoli

Požádejte API o dvě pole, na kterých záleží, a o nic jiného, aby odpověď zůstala dost malá na přečtení ve tři ráno: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Pole status pojmenovává fázi životního cyklu a detailedStatus nese čitelný důvod, který je k ní připojený. Úplný výpis konfigurace odpovídá na jiné otázky a hůř se vkládá do tiketu. Taková volání jen pro čtení nemohou tunel změnit, což je důležité, dokud je incident ještě aktivní.

Zapište časové razítko volání vedle hodnot, protože se obě pole mění.

ALLOCATING_RESOURCES není neshoda klíče

Když tunel hlásí ALLOCATING_RESOURCES, poskytovatel objekt teprve sestavuje. Neshodu předem sdíleného klíče v této fázi pozorovat nelze a zablokovaný port protistrany je stejně neprokázaný. Co zkontrolovat můžete, je podrobná zpráva, zda projekt a služba vypadají zdravě a zda je konfigurace tunelu dost úplná, aby se s protistranou vůbec dalo spojit. Nahrazení tajemství teď mění hodnotu, která nikdy nebyla otestována.

Počkejte, až se stav pohne, než uděláte závěr o konfiguraci.

ESTABLISHED je začátek kontrol přístupu

Navázaný tunel znamená, že IKE dokončil, ne že teče provoz. Potvrďte trasy, které tunel nese, a tam, kde je zapojený Cloud Router, potvrďte relaci BGP a prefixy, které se naučila. Potom otestujte povolenou výměnu aplikace, protože pravidlo firewallu nebo chybějící trasa může zablokovat provoz přes zcela zdravý tunel. Každé z toho je samostatné pozorování se samostatnou opravou.

Stav vám říká, kterou otázku položit dál. Nikdy za vás otázku přístupu nezodpoví.

Spojte jeden objekt a jedno časové okno

Stará chyba autentizace v logu patří dřívějšímu pokusu, pokud její časové razítko nepadne do okna, které zkoumáte. Stáhněte logy pro prostředek tunelu za stejné minuty, jako je zaznamenaný stav, a držte identifikátory pohromadě. Pozdější událost IKE může ukázat, že vyjednávání začalo, zatímco zpráva v konzoli, na kterou zíráte, už je zastaralá.

Pokud se tunel obnoví dřív, než cokoli nasbíráte, řekněte to. Neurčená příčina je lepší záznam než sebejistý příběh složený z nesouvisejících řádků.

Další krok má vždy stejný tvar: jeden objekt, jedno okno, jedna fáze. Cokoli širšího je shrnutí, ne diagnóza.