Πρέπει να ενεργοποιήσετε τα αρχεία καταγραφής σήραγγας AWS VPN σε ενεργή σήραγγα;

Η ενεργοποίηση αρχείων δραστηριότητας σήραγγας για ένα Site-to-Site VPN είναι μια μικρή αλλαγή που μπορεί να ρίξει τη σήραγγα που μετράει. Η AWS προειδοποιεί ότι η ενεργοποίηση καταγραφής σε υπάρχουσα σήραγγα μπορεί να τη διακόψει για αρκετά λεπτά, οπότε το ενδιαφέρον ερώτημα δεν είναι πώς θα γυρίσετε τη σημαία αλλά σε ποια σήραγγα θα τη γυρίσετε και πότε. Τρεις συνθήκες καθορίζουν τη σειρά: αν η άλλη σήραγγα μεταφέρει πραγματικά τις διαδρομές, αν χρειάζεστε συμβάντα υπηρεσίας ή συμβάντα BGP, και αν η αλλαγή περνά από την κονσόλα ή από το API επιλογών σήραγγας. Αν τα κάνετε λάθος, καταλήγετε είτε σε διακοπή είτε σε μια ομάδα αρχείων γεμάτη τίποτα.

Τρεις συνθήκες καθορίζουν τη σειρά

Ξεκινήστε από την ταυτότητα του πράγματος που αλλάζετε. Χρειάζεστε το ID σύνδεσης VPN, την περιοχή και την εξωτερική διεύθυνση IP της συγκεκριμένης σήραγγας, γιατί κάθε ρύθμιση αρχείου σε αυτή τη λειτουργία είναι ανά σήραγγα και όχι ανά σύνδεση. Μια αλλαγή που εφαρμόζεται στη λάθος εξωτερική διεύθυνση είναι αλλαγή σε μια σήραγγα που κανείς δεν αποσφαλμάτωσε.

Ο προορισμός είναι μια ομάδα αρχείων CloudWatch στην ίδια περιοχή, με τη διατήρηση και την πολιτική πρόσβασης που θέλετε πραγματικά. Η AWS συνιστά το πρόθεμα /aws/vendedlogs/ για αυτές τις ομάδες, γιατί αποφεύγει τα όρια μεγέθους πολιτικής πόρων που μπορούν να χτυπήσουν τα απλά ονόματα. Ένα όνομα όπως /aws/vendedlogs/vpn/branch-a-activity είναι μόνο ενδεικτικό· αυτό που μετράει είναι να υπάρχει η ομάδα, να μπορεί ο ρόλος παράδοσης να γράψει σε αυτήν και τα δύο να τα διαχειρίζεται όποιος κατέχει τη διαμόρφωση του VPN. Το όνομα δεν παρέχει δικαιώματα, και μια ομάδα που δημιουργήθηκε χωρίς την πολιτική παράδοσης παράγει σιωπή αντί για σφάλμα.

Πρώτη συνθήκη: μια πλεονάζουσα σήραγγα που μεταφέρει πραγματικά κίνηση

Αυτή είναι η συνθήκη που παρακάμπτουν οι ομάδες. Δύο διαμορφωμένες σήραγγες δεν αποδεικνύουν ότι η εφαρμογή έχει χρησιμοποιήσιμη εναλλακτική διαδρομή.

Πριν αγγίξετε μια σήραγγα, επιβεβαιώστε ότι η άλλη μεταφέρει τις διαδρομές που μετράνε: ελέγξτε τον πίνακα δρομολόγησης στην πλευρά της πύλης πελάτη και επιβεβαιώστε ότι η εφαρμογή μπορεί πραγματικά να μεταβεί εφεδρικά. Το παράθυρο διακοπής της AWS είναι λεπτά, όχι δευτερόλεπτα, και μια σήραγγα που υπάρχει μόνο στα χαρτιά μετατρέπει μια διαγνωστική αλλαγή σε διακοπή. Αν η εφεδρική διαδρομή δεν είναι αποδεδειγμένη, προγραμματίστε την αλλαγή με την ίδια προσοχή όπως κάθε άλλη αλλαγή δρομολόγησης αντί να θεωρείτε την καταγραφή παθητική. Οργανώστε με όργανα τη σήραγγα της οποίας τη συμπεριφορά προσπαθείτε να εξηγήσετε, όχι αυτή που είναι ευκολότερο να προσεγγιστεί.

Δεύτερη συνθήκη: αρχείο δραστηριότητας ή αρχείο BGP

Αυτή καθορίζει τι θα μπορείτε πραγματικά να διαβάσετε. Οι εγγραφές δραστηριότητας καλύπτουν συμβάντα υπηρεσίας όπως μεταβάσεις κατάστασης IKE και IPsec και μηνύματα DPD, που είναι αυτό που θέλετε όταν η σήραγγα δεν σηκώνεται ή ανανεώνει συνεχώς κλειδιά. Οι εγγραφές BGP είναι ξεχωριστή ροή με δικούς της ελέγχους και απαντούν σε άλλο ερώτημα: αν οι διαδρομές ανταλλάχθηκαν και αποσύρθηκαν όπως αναμενόταν.

Η ενεργοποίηση της σημαίας δραστηριότητας δεν είναι αίτημα για κάθε ροή που μπορεί να εκπέμψει η υπηρεσία. Αν η υποψία είναι δρομολόγηση, ενεργοποιήστε και τις δύο· αν η υποψία είναι διαπραγμάτευση φάσης 1 ή φάσης 2, η ροή δραστηριότητας είναι αυτή που θα το δείξει.

Καμία από τις δύο ροές δεν είναι σύλληψη πακέτων, και αυτή η διάκριση κρίνει περισσότερα εισιτήρια από όσα θα έπρεπε. Οι εγγραφές δραστηριότητας και BGP σας λένε τι έκανε η υπηρεσία με τη σήραγγα και τη συνεδρία, όχι τι έστειλε η εφαρμογή σας μέσα από αυτήν. Το να καταφύγετε στα αρχεία σήραγγας για να αποσφαλματώσετε ένα χρονικό όριο εφαρμογής είναι λάθος κατηγορίας, και συνήθως κοστίζει ένα παράθυρο διακοπής πριν το προσέξει κανείς. Διαλέξτε πρώτα το ερώτημα, μετά τη ροή που μπορεί να το απαντήσει.

Τρίτη συνθήκη: αλλαγή από την κονσόλα ή από το API επιλογών σήραγγας

Αν ένας άνθρωπος κάνει μια μεμονωμένη αλλαγή, η διαδρομή μέσω κονσόλας είναι εντάξει: VPC console, Site-to-Site VPN connections, επιλέξτε τη σύνδεση, Actions, Modify VPN tunnel options, επιλέξτε την εξωτερική IP, ενεργοποιήστε Tunnel activity log, επιλέξτε την ομάδα και τη μορφή εξόδου, αποθηκεύστε μέσα στο παράθυρο. Αν το VPN διαχειρίζεται ως κώδικας, το ίδιο κλικ είναι απόκλιση που θα συμβιβάσετε αργότερα.

Για αυτοματισμό, το τμήμα αρχείου δραστηριότητας των επιλογών σήραγγας έχει σταθερή μορφή: LogOptions που περιέχει CloudWatchLogOptions με LogEnabled, LogGroupArn και LogOutputFormat. Αυτό το μπλοκ είναι απόσπασμα, όχι αίτημα· το modify-vpn-tunnel-options εξακολουθεί να χρειάζεται το ID σύνδεσης και την εξωτερική IP της σήραγγας, και τις υπόλοιπες ρυθμίσεις της σήραγγας πρέπει να τις διατηρήσει όποιος κατέχει το πρότυπο. Η καταγραφή BGP χρησιμοποιεί τα δικά της κλειδιά BgpLogEnabled, BgpLogGroupArn και BgpLogOutputFormat στην ίδια δομή. Διαβάστε την αλλαγή πίσω με το describe-vpn-connections αντί να εμπιστεύεστε ότι η κλήση εφαρμόστηκε.

Τι μπορούν και τι δεν μπορούν να σας πουν οι εγγραφές

Όταν η πρώτη σήραγγα ολοκληρωθεί και η επιδιωκόμενη διαδρομή είναι διαθέσιμη, επαναλάβετε την ίδια ελεγχόμενη ακολουθία για τη δεύτερη σήραγγα αν χρειάζεστε και τα αρχεία της. Μία σήραγγα τη φορά είναι όλο το νόημα.

Οι εγγραφές φτάνουν σε ροές που προσδιορίζονται από τη σύνδεση και την εξωτερική διεύθυνση της σήραγγας, οπότε συσχετίστε με αυτή την ταυτότητα αντί να περιμένετε το ιστορικό να εμφανιστεί αναδρομικά. Τίποτα πριν από την αλλαγή δεν υπάρχει, και καμία αναμονή δεν γεμίζει το κενό. Αν χρειάζεστε μια γραμμή βάσης, καταγράψτε την τρέχουσα κατάσταση της σήραγγας και τον πίνακα δρομολόγησης πριν από την αλλαγή ώστε να υπάρχει κάτι με το οποίο να συγκρίνετε.

Κρατήστε την ομάδα αρχείων, τη διατήρησή της, τα δικαιώματα παράδοσής της και το μπλοκ επιλογών σήραγγας στο ίδιο απόθεμα με το ίδιο το VPN, γιατί είναι μία διαμόρφωση απλωμένη σε τέσσερα σημεία. Η διαδικασία της AWS για την ενεργοποίηση αρχείων τεκμηριώνει τη ροή εργασίας ανά σήραγγα και την προειδοποίηση διακοπής, και αξίζει να τη διαβάσετε πριν από την αλλαγή και όχι μετά. Έπειτα επαληθεύστε με σειρά: η σήραγγα επέστρεψε, οι εγγραφές εμφανίζονται στη αναμενόμενη ροή, και οι εγγραφές απαντούν στο ερώτημα για το οποίο ανοίξατε το εισιτήριο. Αν το τρίτο αποτύχει, το πρόβλημα ήταν η επιλογή ροής και όχι η καταγραφή.