Cloud VPN -tila: lue resurssin tila ennen IKE-lokia

Cloud VPN -tunneli ajaa kahta elinkaarta yhtä aikaa, eivätkä ne ole samalla kellolla. Resurssi on allokoitava ja konfiguroitava ennen kuin se voi neuvotella, ja sen jälkeen protokollalla on oma IKE-viestiensä järjestys. Tilakenttä voi ilmoittaa ensimmäisestä sanomatta mitään hyödyllistä toisesta. Niiden lukeminen yhtenä asiana on tapa, jolla avainten eroavuus saa syyn provisiointiviiveestä.

Aloita yhdestä tunnelin objektista ja yhdestä aikavälistä.

Kaksi elinkaarta, yksi tunnelin objekti

Resurssin elinkaari on palveluntarjoajan tunnelin valmistelu: osoitteet, konfiguraatio, kapasiteetti. Protokollan elinkaari alkaa, kun molemmilla osapuolilla on tarpeeksi konfiguraatiota IKE_SA_INITin, sitten IKE_AUTHin, sitten aliturvayhteyksien vaihtamiseen. Ensimmäisessä vaiheessa oleva tunneli ei ole epäonnistunut todennuksessa, koska todennusta ei ole vielä yritetty.

Juuri tämä ero on koko ongelma. Kaikki muu on sitä, miten sitä havainnoidaan yhdistämättä asiaankuulumattomia viestejä.

Lue objekti, älä konsolin yhteenvetoa

Pyydä API:lta ne kaksi kenttää, joilla on merkitystä, äläkä muuta, jotta vastaus pysyy tarpeeksi pienenä luettavaksi kolmelta aamuyöllä: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status-kenttä nimeää elinkaaren vaiheen, ja detailedStatus kantaa siihen liittyvän luettavan syyn. Täydellinen konfiguraatiovedos vastaa eri kysymyksiin ja on vaikeampi liittää tikettiin. Tällaiset vain lukuun tarkoitetut kutsut eivät voi muuttaa tunnelia, millä on merkitystä, kun häiriö on vielä käynnissä.

Kirjaa kutsun aikaleima arvojen viereen, koska molemmat kentät liikkuvat.

ALLOCATING_RESOURCES ei ole avainten eroavuus

Kun tunneli ilmoittaa ALLOCATING_RESOURCES, palveluntarjoaja kokoaa objektia vielä. Jaetun avaimen eroavuutta ei voi havainnoida siinä vaiheessa, eikä estetty vastapuolen portti ole sen enempää todistettu. Sen sijaan voit tarkistaa yksityiskohtaisen viestin, näyttävätkö projekti ja palvelu terveiltä ja onko tunnelin konfiguraatio tarpeeksi täydellinen, jotta vastapuoleen voidaan ylipäätään ottaa yhteyttä. Salaisuuden vaihtaminen nyt muuttaa arvoa, jota ei koskaan testattu.

Odota, että tila liikkuu, ennen kuin teet johtopäätöksen konfiguraatiosta.

ESTABLISHED on pääsyn tarkistusten alku

Muodostettu tunneli tarkoittaa, että IKE valmistui, ei että liikenne virtaa. Vahvista tunnelin kantamat reitit ja, missä Cloud Router on mukana, vahvista BGP-istunto ja etuliitteet, jotka se oppi. Testaa sitten sallittu sovellusvaihto, koska palomuurisääntö tai puuttuva reitti voi estää liikennettä täysin terveen tunnelin läpi. Jokainen näistä on erillinen havainto ja erillinen korjaus.

Tila kertoo, mikä kysymys seuraavaksi esitetään. Se ei koskaan vastaa puolestasi pääsyn kysymykseen.

Korreloi yksi objekti ja yksi aikaväli

Lokissa oleva vanha todennusvirhe kuuluu aikaisempaan yritykseen, ellei sen aikaleima osu tutkimaasi aikaväliin. Hae tunnelin resurssin lokit samoille minuuteille kuin tallennettu tila ja pidä tunnisteet yhdessä. Myöhempi IKE-tapahtuma voi näyttää, että neuvottelu on alkanut, vaikka tuijottamasi konsoliviesti on jo vanhentunut.

Jos tunneli palautuu ennen kuin ehdit kerätä mitään, kerro se. Määrittämätön syy on parempi kirjaus kuin itsevarma tarina, joka on koottu asiaankuulumattomista riveistä.

Seuraavalla askeleella on aina sama muoto: yksi objekti, yksi aikaväli, yksi vaihe. Kaikki laajempi on yhteenveto, ei diagnoosi.