Cloud VPN-i olek: enne IKE-logi loe ressursi olekut

Cloud VPN-i tunnel jookseb korraga kahte elutsüklit ja need ei käi sama kella järgi. Ressurss tuleb eraldada ja konfigureerida enne, kui see saab läbirääkimisi pidada, ja seejärel on protokollil oma IKE-sõnumite järjestus. Olekuväli võib teatada esimesest, ütlemata teise kohta midagi kasulikku. Nende lugemine ühe asjana on viis, kuidas võtme lahknevusele pannakse süüks tarneviivitust.

Alusta ühe tunnelobjekti ja ühe ajavahemikuga.

Kaks elutsüklit, üks tunnelobjekt

Ressursi elutsükkel on teenusepakkuja tunnelit ette valmistamas: aadressid, konfiguratsioon, maht. Protokolli elutsükkel algab siis, kui mõlemal poolel on piisavalt konfiguratsiooni IKE_SA_INIT-i, seejärel IKE_AUTH-i ja seejärel alam-turvaassotsiatsioonide vahetamiseks. Esimeses faasis olev tunnel ei ole autentimisel ebaõnnestunud, sest autentimist ei ole veel proovitud.

Just see erinevus on kogu probleem. Kõik muu on see, kuidas seda jälgida ilma seostamata sõnumeid kokku sulatamata.

Loe objekti, mitte konsooli kokkuvõtet

Küsi API-lt kahte välja, mis loevad, ja mitte midagi muud, et vastus jääks piisavalt väikeseks, et seda kell kolm öösel lugeda: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Väli status nimetab elutsükli etapi ja detailedStatus kannab sellega seotud loetavat põhjust. Täielik konfiguratsiooni väljavõte vastab teistele küsimustele ja seda on raskem piletisse kleepida. Sellised ainult lugemiseks mõeldud kutsed ei saa tunnelit muuta, mis on oluline, kuni juhtum on veel aktiivne.

Kirjuta kutsche ajatempel väärtuste kõrvale, sest mõlemad väljad liiguvad.

ALLOCATING_RESOURCES ei ole võtme lahknevus

Kui tunnel teatab ALLOCATING_RESOURCES, alles pakkuja koostab objekti. Eelnevalt jagatud võtme lahknevust ei saa selles etapis jälgida ja blokeeritud partneri port on samuti tõestamata. Mida saad kontrollida, on üksikasjalik sõnum, kas projekt ja teenus näivad terved ning kas tunnelikonfiguratsioon on piisavalt täielik, et partneriga üldse ühendust saaks võtta. Saladuse asendamine muudab nüüd väärtust, mida kunagi ei testitud.

Oota, kuni olek liigub, enne kui konfiguratsiooni kohta järelduse teed.

ESTABLISHED on juurdepääsukontrollide algus

Loodud tunnel tähendab, et IKE lõpetas, mitte et liiklus voolab. Kinnita marsruudid, mida tunnel kannab, ja kui Cloud Router on kaasatud, kinnita BGP-sessioon ja prefiksid, mida see õppis. Seejärel testi lubatud rakenduse vahetust, sest tulemüürireegel või puuduv marsruut võib blokeerida liikluse täiesti terve tunneli kaudu. Iga neist on eraldi vaatlus eraldi parandusega.

Olek ütleb sulle, millist küsimust järgmisena küsida. See ei vasta kunagi sinu eest juurdepääsuküsimusele.

Korreleeri üks objekt ja üks ajavahemik

Logis olev vana autentimistõrge kuulub varasemale katsele, kui selle ajatempel ei lange uuritava ajavahemiku sisse. Tõmba tunneli ressursi logid samade minutite kohta, mis salvestatud olek, ja hoia identifikaatorid koos. Hilisem IKE-sündmus võib näidata, et läbirääkimine on alanud, samal ajal kui konsooliteade, millele sa jõllitad, on juba aegunud.

Kui tunnel taastub enne, kui midagi kogud, ütle seda. Määramata põhjus on parem kirje kui seostamata ridadest kokku pandud enesekindel lugu.

Järgmine samm on alati sama kujuga: üks objekt, üks ajavahemik, üks etapp. Kõik laiem on kokkuvõte, mitte diagnoos.