A ddylech chi alluogi logiau twnnel AWS VPN ar dwnnel byw?

Mae troi logiau gweithgaredd twnnel ymlaen ar gyfer Site-to-Site VPN yn newid bach a all ollwng y twnnel y mae’n ei fesur. Mae AWS yn rhybuddio y gall galluogi logio ar dwnnel presennol ei darfu am sawl munud, felly’r cwestiwn diddorol yw nid sut i droi’r faner ond pa dwnnel i’w throi arno a phryd. Mae tair amod yn penderfynu’r drefn: a yw’r twnnel arall yn cario’r llwybrau mewn gwirionedd, a oes arnoch angen digwyddiadau gwasanaeth neu ddigwyddiadau BGP, ac a yw’r newid yn mynd trwy’r consol neu trwy API opsiynau’r twnnel. Cewch y rhain yn anghywir a byddwch naill ai ag amhariad neu â grŵp log yn llawn dim.

Tair amod sy’n penderfynu’r drefn

Dechreuwch gyda hunaniaeth y peth rydych yn ei newid. Mae arnoch angen ID cysylltiad VPN, y rhanbarth, a chyfeiriad IP allanol y twnnel penodol, oherwydd mae pob gosodiad log yn y nodwedd hon ar gyfer twnnel yn hytrach nag ar gyfer cysylltiad. Mae newid a roddir ar y cyfeiriad allanol anghywir yn newid i dwnnel nad oedd neb yn ei ddadfygio.

Y gyrchfan yw grŵp log CloudWatch yn yr un rhanbarth, gyda’r polisi cadw a mynediad rydych wir ei eisiau. Mae AWS yn argymell y rhagddodiad /aws/vendedlogs/ ar gyfer y grwpiau hyn oherwydd ei fod yn osgoi terfynau maint polisi adnoddau y gall enwau plaen eu taro. Mae enw fel /aws/vendedlogs/vpn/branch-a-activity yn ddarluniadol yn unig; yr hyn sy’n bwysig yw bod y grŵp yn bodoli, bod modd i’r rôl gyflenwi ysgrifennu iddo, a bod y ddau’n cael eu rheoli gan bwy bynnag sy’n berchen ar ffurfweddiad y VPN. Nid yw’r enw’n rhoi caniatâd, ac mae grŵp a grëir heb y polisi cyflenwi yn cynhyrchu distawrwydd yn hytrach na gwall.

Yr amod gyntaf: twnnel wrth gefn sy’n cario traffig go iawn

Dyma’r amod y mae timau’n ei hepgor. Nid yw dau dwnnel wedi’u ffurfweddu yn brawf bod gan y cymhwysiad lwybr arall defnyddiadwy.

Cyn i chi gyffwrdd ag un twnnel, cadarnhewch fod y llall yn cario’r llwybrau sy’n bwysig: gwiriwch y tabl llwybro ar ochr y porth cleient a chadarnhewch y gall y cymhwysiad wir droi drosodd. Mae ffenestr amhariad AWS yn funudau, nid eiliadau, ac mae twnnel sy’n bodoli ar bapur yn unig yn troi newid diagnostig yn amhariad. Os nad yw’r llwybr wrth gefn wedi’i brofi, trefnwch y newid gyda’r un gofal ag unrhyw newid llwybro arall yn lle trin logio fel rhywbeth goddefol. Offerynnwch y twnnel y ceisiwch esbonio ei ymddygiad, nid yr un sy’n haws ei gyrraedd.

Yr ail amod: log gweithgaredd neu log BGP

Mae hwn yn penderfynu beth y gallwch ei ddarllen mewn gwirionedd. Mae cofnodion gweithgaredd yn cwmpasu digwyddiadau gwasanaeth fel trosglwyddiadau cyflwr IKE ac IPsec a negeseuon DPD, sef yr hyn rydych ei eisiau pan na fydd y twnnel yn codi neu’n parhau i ailosod allweddi. Mae cofnodion BGP yn llif ar wahân gyda’u rheolyddion eu hunain, ac maent yn ateb cwestiwn gwahanol: a gyfnewidiwyd llwybrau ac a’u tynnwyd yn ôl yn ôl y disgwyl.

Nid yw galluogi’r faner weithgaredd yn gais am bob llif y gall y gwasanaeth ei allyrru. Os yw’r amheuaeth yn llwybro, galluogwch y ddau; os yw’r amheuaeth ym mhregeithiau cam 1 neu gam 2, y llif gweithgaredd yw’r un a fydd yn ei ddangos.

Nid yw’r naill lif na’r llall yn gipio pecynnau, ac mae’r gwahaniaeth hwnnw’n penderfynu mwy o docynnau nag y dylai. Mae cofnodion gweithgaredd a BGP yn dweud wrthych beth a wnaeth y gwasanaeth â’r twnnel a’r sesiwn, nid beth a anfonodd eich cymhwysiad trwyddynt. Mae estyn am logiau twnnel i ddadfygio amseriad allan cymhwysiad yn gamgymeriad categori, ac fel arfer mae’n costio ffenestr amhariad cyn i unrhyw un sylwi. Dewiswch y cwestiwn yn gyntaf, yna’r llif a all ei ateb.

Y trydydd amod: newid consol neu API opsiynau twnnel

Os yw person yn gwneud newid unwaith, mae’r llwybr consol yn iawn: VPC console, Site-to-Site VPN connections, dewiswch y cysylltiad, Actions, Modify VPN tunnel options, dewiswch yr IP allanol, galluogwch Tunnel activity log, dewiswch y grŵp a’r fformat allbwn, cadwch o fewn y ffenestr. Os yw’r VPN yn cael ei reoli fel cod, mae’r un clic yn ddrifft y byddwch yn ei chysoni yn ddiweddarach.

Ar gyfer awtomeiddio, mae gan ran log gweithgaredd yr opsiynau twnnel siâp sefydlog: LogOptions sy’n cynnwys CloudWatchLogOptions gyda LogEnabled, LogGroupArn ac LogOutputFormat. Mae’r bloc hwnnw’n ddarn, nid yn gais; mae angen ID y cysylltiad ac IP allanol y twnnel ar modify-vpn-tunnel-options o hyd, a rhaid i bwy bynnag sy’n berchen ar y templed gadw gweddill gosodiadau’r twnnel. Mae logio BGP yn defnyddio ei allweddi ei hun BgpLogEnabled, BgpLogGroupArn ac BgpLogOutputFormat yn yr un strwythur. Darllenwch y newid yn ôl gyda describe-vpn-connections yn lle ymddiried bod y galwad wedi’i chymhwyso.

Beth all y cofnodion ei ddweud wrthych a beth na all

Unwaith y bydd y twnnel cyntaf wedi’i wneud a’r llwybr arfaethedig ar gael, ailadroddwch yr un dilyniant rheoledig ar gyfer yr ail dwnnel os oes arnoch angen ei logiau ef hefyd. Un twnnel ar y tro yw’r pwynt cyfan.

Mae cofnodion yn dod mewn llifoedd a nodir gan y cysylltiad a chyfeiriad allanol y twnnel, felly cydberthynwch â’r hunaniaeth honno yn lle disgwyl i hanes ymddangos yn ôl-weithredol. Nid oes dim cyn y newid yn bodoli, ac nid yw unrhyw faint o aros yn llenwi’r bwlch. Os oes arnoch angen llinell sylfaen, cofnodwch gyflwr presennol y twnnel a’r tabl llwybro cyn y newid fel bod rhywbeth i’w gymharu ag ef.

Cadwch y grŵp log, ei gadw, ei ganiatâd cyflenwi a bloc opsiynau’r twnnel yn yr un rhestr â’r VPN ei hun, oherwydd un ffurfweddiad ydynt wedi’i wasgaru ar draws pedwar lle. Mae gweithdrefn AWS ar gyfer galluogi logiau yn dogfennu’r llif gwaith fesul twnnel a’i rhybudd amhariad, ac mae’n werth ei darllen cyn y newid yn hytrach nag ar ôl. Yna gwiriwch yn y drefn: daeth y twnnel yn ôl, mae cofnodion yn ymddangos yn y llif disgwyliedig, ac mae’r cofnodion yn ateb y cwestiwn y gwnaethoch agor y tocyn ar ei gyfer. Os bydd y trydydd yn methu, y dewis llif oedd y broblem yn hytrach na’r logio.