Estado de Cloud VPN: lea o estado do recurso antes do rexistro de IKE

Un túnel de Cloud VPN executa dous ciclos de vida á vez, e non van no mesmo reloxo. O recurso debe asignarse e configurarse antes de que poida negociar, e despois o protocolo ten a súa propia secuencia de mensaxes IKE. Un campo de estado pode informar do primeiro sen dicir nada útil sobre o segundo. Lelos como unha soa cousa é como unha discrepancia de chave acaba cargando coa culpa dun atraso de aprovisionamento.

Comece cun obxecto de túnel e unha xanela de tempo.

Dous ciclos de vida, un obxecto de túnel

O ciclo de vida do recurso é o provedor preparando o túnel: enderezos, configuración, capacidade. O ciclo de vida do protocolo comeza cando ambos os pares teñen suficiente configuración para intercambiar IKE_SA_INIT, despois IKE_AUTH, despois asociacións de seguridade fillas. Un túnel que aínda está na primeira fase non fallou a autenticación, porque a autenticación aínda non se tentou.

Esa distinción é todo o problema. Todo o demais é como observala sen fusionar mensaxes non relacionadas.

Lea o obxecto, non o resumo da consola

Pídalle á API os dous campos que importan e nada máis, para que a resposta siga sendo abondo pequena para lela ás tres da madrugada: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". O campo status nomea a etapa do ciclo de vida, e detailedStatus leva o motivo lexible asociado a ela. Un volcado completo da configuración responde a outras preguntas e é máis difícil de pegar nun tícket. As chamadas de só lectura como esta non poden cambiar o túnel, o que importa mentres o incidente segue vivo.

Anote a marca de tempo da chamada xunto aos valores, porque ambos os campos se moven.

ALLOCATING_RESOURCES non é unha discrepancia de chave

Cando o túnel informa de ALLOCATING_RESOURCES, o provedor aínda está montando o obxecto. Unha discrepancia de chave precompartida non se pode observar nesa etapa, e un porto do par bloqueado está igual de sen probar. O que si pode comprobar é a mensaxe detallada, se o proxecto e o servizo parecen sans e se a configuración do túnel é abondo completa como para que se poida contactar co par. Substituír o segredo agora cambia un valor que nunca se probou.

Espere a que o estado se mova antes de sacar unha conclusión sobre a configuración.

ESTABLISHED é o comezo das comprobacións de acceso

Un túnel establecido significa que IKE se completou, non que flúa o tráfico. Confirme as rutas que transporta o túnel e, onde interveña un Cloud Router, confirme a sesión BGP e os prefixos que aprendeu. Despois probe un intercambio de aplicación permitido, porque unha regra de devasa ou unha ruta ausente poden bloquear o tráfico por un túnel perfectamente san. Cada unha desas é unha observación separada cunha corrección separada.

O estado diille que pregunta facer despois. Nunca responde por vostede a pregunta do acceso.

Correlacione un obxecto e unha xanela de tempo

Un fallo de autenticación antigo no rexistro pertence a un intento anterior, salvo que a súa marca de tempo caia dentro da xanela que investiga. Extraia os rexistros do recurso do túnel para os mesmos minutos que o estado que anotou, e manteña os identificadores xuntos. Un evento IKE posterior pode mostrar que a negociación comezou mentres a mensaxe de consola que mira xa está desfasada.

Se o túnel se recupera antes de que recolla nada, dígao. Unha causa indeterminada é un rexistro mellor que unha historia segura montada con liñas non relacionadas.

O paso seguinte sempre ten a mesma forma: un obxecto, unha xanela, unha etapa. Calquera cousa máis ampla é un resumo, non un diagnóstico.