Cloud VPN-status: lês earst de status fan ’e boarne, dan it IKE-log

In Cloud VPN-tunnel rint twa libbenssyklusen tagelyk, en se binne net op deselde klok. De boarne moat tawiisd en konfigurearre wurde foardat er ûnderhannelje kin, en dêrnei hat it protokol syn eigen folchoarder fan IKE-berjochten. In statusfjild kin it earste melde sûnder eat nuttichs oer it twadde te sizzen. Se as ien ding lêze is de manier wêrop in kaaiferskil de skuld kriget fan in fertraging by it tarjen.

Begjin mei ien tunnelobjekt en ien tiidfinster.

Twa libbenssyklusen, ien tunnelobjekt

De libbenssyklus fan ’e boarne is de oanbierder dy’t de tunnel taret: adressen, konfiguraasje, kapasiteit. De libbenssyklus fan it protokol begjint as beide kanten genôch konfiguraasje hawwe om IKE_SA_INIT út te wikseljen, dan IKE_AUTH, dan bernfeiligensassosjaasjes. In tunnel dy’t noch yn ’e earste faze sit, is net mislearre by de autentikaasje, om’t autentikaasje noch net besocht is.

Dat ûnderskie is it hiele probleem. Al it oare is hoe’t jo it observearje sûnder ûnbesibbe berjochten te gearfoegjen.

Lês it objekt, net de konsolesamenvatting

Freegje de API om de twa fjilden dy’t der ta dogge en neat oars, sadat it antwurd lyts genôch bliuwt om it om trije oere nachts te lêzen: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". It statusfjild neamt de faze fan ’e libbenssyklus, en detailedStatus draacht de lêsbere reden dy’t deroan ferbûn is. In folsleine konfiguraasjedump beantwurdet oare fragen en is dreger yn in ticket te plakken. Sokke allinnich-lêzen-oproppen kinne de tunnel net feroarje, wat fan belang is salang’t it ynsidint noch libbet.

Skriuw de tiidstimpel fan ’e oprop njonken de wearden, want beide fjilden bewege.

ALLOCATING_RESOURCES is gjin kaaiferskil

As de tunnel ALLOCATING_RESOURCES meldt, is de oanbierder it objekt noch oan it gearstallen. In kaaiferskil fan in foarôf dielde kaai kin yn dy faze net observearre wurde, en in blokkearre poarte fan ’e peer is like ûnbewiisd. Wat jo hifkje kinne, is it detaillearre berjocht, oft it projekt en de tsjinst sûn lykje en oft de tunnelkonfiguraasje folslein genôch is om de peer hielendal te berikken. It geheim no ferfange feroaret in wearde dy’t nea test is.

Wachtsje oant de status beweecht foardat jo in konklúzje oer de konfiguraasje lûke.

ESTABLISHED is it begjin fan ’e tagongskontrôles

In fêstige tunnel betsjut dat IKE foltôge is, net dat ferkear streamt. Befêstigje de rûtes dy’t de tunnel draacht en, wêr’t in Cloud Router belutsen is, befêstigje de BGP-sesje en de prefiksen dy’t er leard hat. Test dêrnei in tastiene applikaasje-útwikseling, want in firewallregel of in ûntbrekkende rûte kin ferkear troch in folslein sûne tunnel blokkearje. Elk dêrfan is in aparte observaasje mei in aparte reparaasje.

Status fertelt jo hokker fraach jo folgjende stelle moatte. Hy beantwurdet nea de tagongsfraach foar jo.

Korrelearje ien objekt en ien tiidfinster

In âld autentikaasjeflater yn it log heart by in eardere poging, útsein as syn tiidstimpel yn it finster falt dat jo ûndersykje. Helje de logs fan ’e tunnelboarne foar deselde minuten as de status dy’t jo fêstlein hawwe, en hâld de identifiers byinoar. In letter IKE-barren kin sjen litte dat de ûnderhanneling begûn is, wylst it konsolberjocht dêr’t jo nei stoarje al ferâldere is.

As de tunnel him werstelt foardat jo eat sammelje, sis dat. In ûnbepaalde oarsaak is in better ferslach as in selsfertrouwen ferhaal gearstald út ûnbesibbe rigels.

De folgjende stap hat altyd deselde foarm: ien objekt, ien finster, ien faze. Alles breder is in gearfetting, gjin diagnoaze.