AWS VPN tunelaren erregistroak tunel bizian gaitu behar dituzu?

Site-to-Site VPN baterako tunelaren jarduera-erregistroak piztea neurtzen ari den tunela eroraraz dezakeen aldaketa txiki bat da. AWSek ohartarazten du lehendik dagoen tunel batean erregistratzea gaitzeak hura minutu batzuetan eten dezakeela, beraz galdera interesgarria ez da bandera nola irauli, baizik eta zein tunelengan eta noiz. Hiru baldintzak erabakitzen dute ordena: beste tunelak benetan eramaten dituen ibilbideak, zerbitzu-gertaerak edo BGP gertaerak behar dituzun, eta aldaketa kontsolatik edo tunelaren aukeren API bidez doan. Hauetan huts egiten baduzu, etenaldi batekin edo ezer ez duen erregistro-talde batekin amaituko duzu.

Hiru baldintzak erabakitzen dute ordena

Hasi aldatzen ari zaren gauzaren identitatearekin. VPN konexioaren IDa, eskualdea eta tunel zehatzaren kanpoko IP helbidea behar dituzu, funtzio honetako erregistro-ezarpen bakoitza konexioaren araberakoa ez baita, tunelaren araberakoa baizik. Kanpoko helbide okerrean aplikatutako aldaketa inork araztu ez zuen tunel baten aldaketa da.

Helmuga eskualde bereko CloudWatch erregistro-talde bat da, benetan nahi duzun atxikipen eta sarbide-politikarekin. AWSek /aws/vendedlogs/ aurrizkia gomendatzen die talde hauei, izen arruntek sar ditzaketen baliabide-politiken tamaina-mugak saihesten baititu. /aws/vendedlogs/vpn/branch-a-activity bezalako izen bat ilustratiboa baino ez da; garrantzitsua da taldea existitzea, entrega-rolak bertan idazteko aukera izatea eta biak VPN konfigurazioa duenak kudeatzea. Izenak ez du baimenik ematen, eta entrega-politikarik gabe sortutako talde batek isiltasuna sortzen du, ez errorea.

Lehen baldintza: trafikoa benetan daraman tunel erredundantea

Hau da taldeek saltatzen duten baldintza. Konfiguratutako bi tunel ez dira froga aplikazioak erabilgarritasunezko bide alternatiboa duenik.

Tunel bat ukitu aurretik, egiaztatu besteak garrantzizko ibilbideak daramatzala: begiratu bideratze-taula bezeroaren atebidearen aldean eta egiaztatu aplikazioak benetan failover egin dezakeela. AWSen etendura-leihoa minututan da, ez segundotan, eta paperean soilik existitzen den tunel batek diagnostiko-aldaketa etendura bihurtzen du. Bide erredundantea frogatuta ez badago, aldaketa beste bideratze-aldaketa bat bezain arretaz programatu, erregistratzea pasibotzat hartu beharrean. Azaldu nahi duzun portaera duen tunela instrumentatu, errazago iristen dena ez.

Bigarren baldintza: jarduera-erregistroa edo BGP erregistroa

Honek erabakitzen du zer irakurri ahal izango duzun. Jarduera-erregistzoek zerbitzu-gertaerak estaltzen dituzte, hala nola IKE eta IPsec egoera-trantsizioak eta DPD mezuak, tunela altxatzen ez denean edo etengabe gakoak berritzen dituenean nahi duzuna. BGP erregistroak bere kontrol propioak dituen fluxu bereizi bat dira, eta beste galdera bati erantzuten diote: ibilbideak espero bezala trukatu eta erretiratu ote ziren.

Jarduera-bandera gaitzea ez da zerbitzuak igor ditzakeen fluxu guztientzako eskaera. Susmoa bideratzea bada, gaitu biak; susmoa 1. faseko edo 2. faseko negoziazioa bada, jarduera-fluxua izango da hori erakutsiko duena.

Bi fluxuetako bat ere ez da paketeen kaptura, eta bereizketa horrek behar baino ticket gehiago argitzen ditu. Jarduera- eta BGP erregistroek zerbitzuak tunelarekin eta saioarekin zer egin zuen esaten dizute, ez zure aplikazioak bertatik bidali zuena. Aplikazioaren itxarote-denbora arazteko tunel-erregistroetara jotzea kategoria-errore bat da, eta normalean etendura-leiho bat kostatzen du inork nabaritu baino lehen. Aukeratu galdera lehenik, gero hari erantzun diezaiokeen fluxua.

Hirugarren baldintza: kontsolako aldaketa edo tunel-aukera APIa

Pertsona batek behin-behineko aldaketa egiten badu, kontsola-bidea egokia da: VPC console, Site-to-Site VPN connections, hautatu konexioa, Actions, Modify VPN tunnel options, hautatu kanpoko IPa, gaitu Tunnel activity log, hautatu taldea eta irteera-formatua, gorde leihoaren barruan. VPN kodea bezala kudeatzen bada, klik bera gero adostuko duzun desbideratzea da.

Automatizaziorako, tunel-aukeraen jarduera-erregistroaren zatiak forma finkoa du: LogOptions barnean CloudWatchLogOptions du, LogEnabled, LogGroupArn eta LogOutputFormat rekin. Bloke hori zati bat da, ez eskaera bat; modify-vpn-tunnel-options egiteko oraindik konexioaren IDa eta tunelaren kanpoko IPa behar dira, eta gainerako tunel-ezarpenak txantiloiaren jabeak gorde behar ditu. BGP erregistratzeak bere gako propioak erabiltzen ditu BgpLogEnabled, BgpLogGroupArn eta BgpLogOutputFormat egitura berean. Irakurri aldaketa describe-vpn-connections erabiliz, deiak aplikatu duela fidatu beharrean.

Erregistzoek zer esan dezaketen eta zer ez

Lehen tunela eginda eta aurreikusitako bidea eskuragarri dagoenean, errepikatu kontrolatutako segida bera bigarren tunelerako haren erregistroak ere behar badituzu. Tunel bat aldiko da kontua.

Erregistroak konexioak eta tunelaren kanpoko helbideak identifikatutako fluxuetan iristen dira, beraz korreleratu identitate horrekin, historia atzeraeraginez agertuko dela espero beharrean. Aldaketaren aurretik ez da ezer existitzen, eta itxaroteak ez du hutsunea betetzen. Oinarrizko lerro bat behar baduzu, erregistratu tunelaren egungo egoera eta bideratze-taula aldaketaren aurretik, konparatzeko zerbait egon dadin.

Eduki erregistro-taldea, haren atxikipena, entrega-baimenak eta tunel-aukera blokea VPNarekin berarekin inbentario berean, lau lekutan banatutako konfigurazio bakarra baitira. AWSen erregistroak gaitzeko prozedurak tunel bakoitzeko lan-fluxua eta haren etendura-abisua dokumentatzen ditu, eta aldaketaren aurretik irakurtzea merezi du, ez ondoren. Ondoren egiaztatu hurrenez hurren: tunela itzuli da, erregistroak espero den fluxuan agertzen dira, eta erregistzoek ticket-a ireki zenuen galderari erantzuten diote. Hirugarrenak huts egiten badu, arazoa fluxuaren hautaketa izan zen, ez erregistratzea.