Κατάσταση Cloud VPN: διαβάστε την κατάσταση του πόρου πριν από το αρχείο IKE

Μια σήραγγα Cloud VPN εκτελεί δύο κύκλους ζωής ταυτόχρονα, και δεν είναι στο ίδιο ρολόι. Ο πόρος πρέπει να εκχωρηθεί και να διαμορφωθεί πριν μπορέσει να διαπραγματευτεί, και μετά το πρωτόκολλο έχει τη δική του ακολουθία μηνυμάτων IKE. Ένα πεδίο κατάστασης μπορεί να αναφέρει το πρώτο χωρίς να λέει τίποτα χρήσιμο για το δεύτερο. Το να τα διαβάζουμε ως ένα πράγμα είναι ο τρόπος με τον οποίο μια ασυμφωνία κλειδιού κατηγορείται για καθυστέρηση στην παροχή.

Ξεκινήστε με ένα αντικείμενο σήραγγας και ένα χρονικό παράθυρο.

Δύο κύκλοι ζωής, ένα αντικείμενο σήραγγας

Ο κύκλος ζωής του πόρου είναι η προετοιμασία της σήραγγας από τον πάροχο: διευθύνσεις, διαμόρφωση, χωρητικότητα. Ο κύκλος ζωής του πρωτοκόλλου ξεκινά όταν και τα δύο άκρα έχουν αρκετή διαμόρφωση για να ανταλλάξουν IKE_SA_INIT, μετά IKE_AUTH, μετά θυγατρικούς συσχετισμούς ασφαλείας. Μια σήραγγα που βρίσκεται ακόμη στην πρώτη φάση δεν απέτυχε στην ταυτοποίηση, επειδή η ταυτοποίηση δεν έχει ακόμη επιχειρηθεί.

Αυτή η διάκριση είναι όλο το πρόβλημα. Όλα τα υπόλοιπα είναι πώς να την παρατηρήσουμε χωρίς να συγχωνεύουμε άσχετα μηνύματα.

Διαβάστε το αντικείμενο, όχι τη σύνοψη της κονσόλας

Ζητήστε από το API τα δύο πεδία που έχουν σημασία και τίποτα άλλο, ώστε η απάντηση να παραμένει αρκετά μικρή για να διαβαστεί στις τρεις τα ξημερώματα: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Το πεδίο status ονομάζει το στάδιο του κύκλου ζωής, και το detailedStatus φέρει τον αναγνώσιμο λόγο που συνδέεται με αυτό. Μια πλήρης εξαγωγή διαμόρφωσης απαντά σε άλλα ερωτήματα και είναι δυσκολότερο να επικολληθεί σε ένα δελτίο. Τέτοιες κλήσεις μόνο για ανάγνωση δεν μπορούν να αλλάξουν τη σήραγγα, κάτι που έχει σημασία όσο το περιστατικό είναι ακόμη ενεργό.

Καταγράψτε τη χρονική σφραγίδα της κλήσης δίπλα στις τιμές, γιατί και τα δύο πεδία κινούνται.

Το ALLOCATING_RESOURCES δεν είναι ασυμφωνία κλειδιού

Όταν η σήραγγα αναφέρει ALLOCATING_RESOURCES, ο πάροχος ακόμη συναρμολογεί το αντικείμενο. Μια ασυμφωνία προ-κοινόχρηστου κλειδιού δεν μπορεί να παρατηρηθεί σε εκείνο το στάδιο, και μια αποκλεισμένη θύρα του ομότιμου είναι εξίσου αναπόδεικτη. Αυτό που μπορείτε να ελέγξετε είναι το λεπτομερές μήνυμα, αν το έργο και η υπηρεσία φαίνονται υγιή, και αν η διαμόρφωση της σήραγγας είναι αρκετά πλήρης ώστε να μπορεί να επικοινωνήσει κανείς με τον ομότιμο. Η αντικατάσταση του μυστικού τώρα αλλάζει μια τιμή που δεν δοκιμάστηκε ποτέ.

Περιμένετε να κινηθεί η κατάσταση πριν βγάλετε συμπέρασμα για τη διαμόρφωση.

Το ESTABLISHED είναι η αρχή των ελέγχων πρόσβασης

Μια εδραιωμένη σήραγγα σημαίνει ότι το IKE ολοκληρώθηκε, όχι ότι ρέει κίνηση. Επιβεβαιώστε τις διαδρομές που μεταφέρει η σήραγγα και, όπου εμπλέκεται ένα Cloud Router, επιβεβαιώστε τη συνεδρία BGP και τα προθέματα που έμαθε. Στη συνέχεια δοκιμάστε μια επιτρεπόμενη ανταλλαγή εφαρμογής, γιατί ένας κανόνας τείχους προστασίας ή μια διαδρομή που λείπει μπορεί να μπλοκάρει την κίνηση μέσα από μια απολύτως υγιή σήραγγα. Κάθε ένα από αυτά είναι ξεχωριστή παρατήρηση με ξεχωριστή διόρθωση.

Η κατάσταση σας λέει ποια ερώτηση να κάνετε μετά. Ποτέ δεν απαντά εκείνη το ερώτημα πρόσβασης για εσάς.

Συσχετίστε ένα αντικείμενο και ένα χρονικό παράθυρο

Μια παλιά αποτυχία ταυτοποίησης στο αρχείο καταγραφής ανήκει σε προηγούμενη προσπάθεια, εκτός αν η χρονική της σφραγίδα πέσει μέσα στο παράθυρο που ερευνάτε. Τραβήξτε τα αρχεία καταγραφής για τον πόρο της σήραγγας για τα ίδια λεπτά με την κατάσταση που καταγράψατε, και κρατήστε τα αναγνωριστικά μαζί. Ένα μεταγενέστερο συμβάν IKE μπορεί να δείξει ότι η διαπραγμάτευση ξεκίνησε, ενώ το μήνυμα της κονσόλας που κοιτάτε είναι ήδη παρωχημένο.

Αν η σήραγγα ανακάμψει πριν συλλέξετε οτιδήποτε, πείτε το. Μια απροσδιόριστη αιτία είναι καλύτερο αρχείο από μια σίγουρη ιστορία ραμμένη από άσχετες γραμμές.

Το επόμενο βήμα έχει πάντα την ίδια μορφή: ένα αντικείμενο, ένα παράθυρο, ένα στάδιο. Κάθε τι ευρύτερο είναι σύνοψη, όχι διάγνωση.