Kas peaksite AWS VPN-i tunneliloge lubama aktiivsel tunnelil?

Tunnelil tegevuslogide sisselülitamine saidi-ja-saidi VPN-i jaoks on väike muudatus, mis võib maha võtta tunneli, mida see mõõdab. AWS hoiatab, et olemasoleval tunnelil logimise lubamine võib selle mitmeks minutiks katkestada, seega huvitav küsimus ei ole, kuidas lippu ümber lülitada, vaid millisel tunnelil seda teha ja millal. Järjekorra määravad kolm tingimust: kas teine tunnel tõesti kannab marsruute, kas vajate teenuse sündmusi või BGP sündmusi, ja kas muudatus läheb konsooli või tunnelivalikute API kaudu. Kui need valesti teete, jääte kas katkestuse või tühjast täis logigrupiga.

Järjekorra määravad kolm tingimust

Alustage muudetava asja identiteedist. Vajate VPN-ühenduse ID-d, piirkonda ja konkreetse tunneli välis-IP-aadressi, sest iga logiseade selles funktsioonis on tunneli, mitte ühenduse kohta. Valele välisaadressile rakendatud muudatus on muudatus tunnelil, mida keegi ei silunud.

Sihtkoht on CloudWatchi logigrupp samas piirkonnas, hoidmis- ja juurdepääsupoliitikaga, mida tegelikult soovite. AWS soovitab nende gruppide jaoks prefiksit /aws/vendedlogs/, sest see väldib ressursipoliitika suuruse piiranguid, millega tavalised nimed võivad kokku puutuda. Nimi nagu /aws/vendedlogs/vpn/branch-a-activity on ainult näitlik; oluline on, et grupp on olemas, et kohaletoimetamisroll saab sinna kirjutada ja et mõlemat haldab see, kellele VPN-i konfiguratsioon kuulub. Nimi ei anna õigusi ja ilma kohaletoimetamispoliitikata loodud grupp tekitab vaikuse, mitte vea.

Esimene tingimus: üleliigne tunnel, mis tegelikult liiklust kannab

See on tingimus, mille meeskonnad vahele jätavad. Kaks seadistatud tunnelit ei ole tõestus, et rakendusel on kasutatav alternatiivne tee.

Enne kui ühte tunnelit puudutate, kinnitage, et teine kannab olulisi marsruute: kontrollige marsruutimistabelit kliendi lüüsi poolel ja kinnitage, et rakendus saab tegelikult üle minna. AWS-i katkestusaken on minutites, mitte sekundites, ja ainult paberil eksisteeriv tunnel muudab diagnostilise muudatuse katkestuseks. Kui üleliigne tee ei ole tõestatud, planeerige muudatus sama hoolikalt nagu iga teine marsruutimismuudatus, selle asemel et logimist passiivseks pidada. Instrumenteerige tunnelit, mille käitumist püüate selgitada, mitte seda, kuhu on lihtsam pääseda.

Teine tingimus: tegevuslogi või BGP-logi

See otsustab, mida tegelikult lugeda saate. Tegevuskirjed hõlmavad teenuse sündmusi, nagu IKE ja IPsec oleku üleminekud ja DPD teated, mida soovite, kui tunnel ei tõuse või uuendab pidevalt võtmeid. BGP-kirjed on eraldi voog oma juhtimisvahenditega ja vastavad teisele küsimusele: kas marsruute vahetati ja tagasi võeti ootuspäraselt.

Tegevuslipu lubamine ei ole taotlus iga voo jaoks, mida teenus võib väljastada. Kui kahtlus on marsruutimises, lubage mõlemad; kui kahtlus on faasi 1 või faasi 2 läbirääkimistes, näitab seda tegevusvoog.

Kumbki voog ei ole paketipüük ja see erinevus otsustab rohkem pileteid, kui peaks. Tegevus- ja BGP-kirjed ütlevad, mida teenus tunneliga ja seansiga tegi, mitte mida teie rakendus sellest läbi saatis. Tunnelilogide juurde pöördumine rakenduse ajutise ületähtaja silumiseks on kategooriaviga ja see maksab tavaliselt katkestusakna, enne kui keegi märkab. Valige esmalt küsimus, seejärel voog, mis suudab sellele vastata.

Kolmas tingimus: konsoolimuudatus või tunnelivalikute API

Kui inimene teeb ühekordse muudatuse, sobib konsoolitee: VPC console, Site-to-Site VPN connections, valige ühendus, Actions, Modify VPN tunnel options, valige välimine IP, lubage Tunnel activity log, valige grupp ja väljundvorming, salvestage akna sees. Kui VPN-i hallatakse koodina, on sama klõps triiv, mille hiljem ühildate.

Automatiseerimise jaoks on tunnelivalikute tegevuslogi osal fikseeritud kuju: LogOptions sisaldab CloudWatchLogOptions koos LogEnabled, LogGroupArn ja LogOutputFormat. See plokk on fragment, mitte taotlus; modify-vpn-tunnel-options vajab endiselt ühenduse ID-d ja tunneli välis-IP-d ning ülejäänud tunneli seaded peab säilitama see, kellele mall kuulub. BGP-logimine kasutab samas struktuuris oma võtmeid BgpLogEnabled, BgpLogGroupArn ja BgpLogOutputFormat. Lugege muudatus describe-vpn-connections abil tagasi, selle asemel et uskuda, et kutse rakendus.

Mida kirjed teile öelda saavad ja ei saa

Kui esimene tunnel on tehtud ja kavandatud tee saadaval, korrake sama kontrollitud järjestust teise tunneli jaoks, kui vajate ka selle logisid. Üks tunnel korraga on kogu mõte.

Kirjed saabuvad voogudes, mille määravad ühendus ja tunneli välisaadress, seega korreleerige selle identiteediga, selle asemel et oodata ajaloo tagasiulatuvalt ilmumist. Midagi enne muudatust ei eksisteeri ja ükski ootamine ei täida lünka. Kui vajate baasjoont, fikseerige enne muudatust tunneli praegune olek ja marsruutimistabel, et oleks millega võrrelda.

Hoidke logigrupp, selle hoidmine, kohaletoimetamisõigused ja tunnelivalikute plokk samas inventaris kui VPN ise, sest need on üks konfiguratsioon, mis on laotatud nelja kohta. AWS-i logide lubamise protseduur dokumenteerib tunneli töövoo ja hoiatab katkestuse eest ning seda tasub lugeda enne muudatust, mitte pärast. Seejärel kontrollige järjekorras: tunnel tuli tagasi, kirjed ilmuvad oodatud voos ja kirjed vastavad küsimusele, mille jaoks pileti avasite. Kui kolmas ebaõnnestub, oli probleem voo valikus, mitte logimises.