מצב Cloud VPN: קראו את מצב המשאב לפני יומן ה-IKE

מנהרת Cloud VPN מריצה שני מחזורי חיים בו-זמנית, והם אינם על אותו שעון. המשאב חייב להיות מוקצה ומוגדר לפני שהוא יכול לנהל משא ומתן, ואחר כך לפרוטוקול יש רצף משלו של הודעות IKE. שדה מצב יכול לדווח על הראשון בלי לומר דבר שימושי על השני. קריאה שלהם כדבר אחד היא הדרך שבה אי-התאמה של מפתח מקבלת את האשמה על עיכוב בהקצאה.

התחילו באובייקט מנהרה אחד ובחלון זמן אחד.

שני מחזורי חיים, אובייקט מנהרה אחד

מחזור החיים של המשאב הוא המספק מכין את המנהרה: כתובות, תצורה, קיבולת. מחזור החיים של הפרוטוקול מתחיל ברגע שלשני הצדדים יש מספיק תצורה כדי להחליף IKE_SA_INIT, אחר כך IKE_AUTH, אחר כך אגודות אבטחה בנות. מנהרה שעדיין בשלב הראשון לא נכשלה באימות, כי האימות עדיין לא נוסה.

ההבחנה הזו היא כל הבעיה. כל השאר הוא איך לצפות בה בלי למזג הודעות לא קשורות.

קראו את האובייקט, לא את סיכום הקונסולה

בקשו מה-API את שני השדות החשובים ותו לא, כדי שהתשובה תישאר קטנה מספיק לקריאה בשלוש לפנות בוקר: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". השדה status נוקב בשם שלב מחזור החיים, ו-detailedStatus נושא את הסיבה הקריאה שמצורפת לו. תצוגה מלאה של התצורה עונה על שאלות אחרות וקשה יותר להדביק בכרטיס. קריאות לקריאה בלבד כאלה אינן יכולות לשנות את המנהרה, וזה חשוב כל עוד התקרית פעילה.

רשמו את חותמת הזמן של הקריאה לצד הערכים, כי שני השדות זזים.

ALLOCATING_RESOURCES אינו אי-התאמה של מפתח

כשהמנהרה מדווחת ALLOCATING_RESOURCES, המספק עדיין מרכיב את האובייקט. אי-התאמה של מפתח משותף מראש אינה ניתנת לצפייה בשלב זה, ופורט עמית חסום גם הוא אינו מוכח. מה שאפשר לבדוק הוא ההודעה המפורטת, אם הפרויקט והשירות נראים בריאים, ואם תצורת המנהרה שלמה מספיק כדי ליצור קשר עם העמית בכלל. החלפת הסוד כעת משנה ערך שמעולם לא נבדק.

המתינו שהמצב יזוז לפני הסקה כלשהי על התצורה.

ESTABLISHED הוא תחילתן של בדיקות הגישה

מנהרה מבוססת פירושה ש-IKE הושלם, לא שתעבורה זורמת. אשרו את המסלולים שהמנהרה נושאת ובמקום ש-Cloud Router מעורב, אשרו את הפעלת ה-BGP ואת הקידומות שלמדה. אחר כך בדקו החלפה מורשית של יישום, כי כלל חומת אש או מסלול חסר יכולים לחסום תעבורה דרך מנהרה בריאה לחלוטין. כל אחד מאלה הוא תצפית נפרדת עם תיקון נפרד.

המצב אומר לכם איזו שאלה לשאול הלאה. הוא לעולם לא עונה על שאלת הגישה במקומכם.

תאמו אובייקט אחד וחלון זמן אחד

כשל אימות ישן ביומן שייך לניסיון קודם, אלא אם חותמת הזמן שלו נופלת בתוך החלון שאתם חוקרים. משכו את היומנים של משאב המנהרה לאותן דקות כמו המצב שרשמתם, ושמרו את המזהים יחד. אירוע IKE מאוחר יותר יכול להראות שהמשא ומתן החל בזמן שהודעת הקונסולה שאתם בוהים בה כבר מיושנת.

אם המנהרה מתאוששת לפני שאספתם משהו, אמרו זאת. סיבה לא-מזוהה היא רשומה טובה יותר מסיפור בטוח מורכב משורות לא קשורות.

הצעד הבא תמיד בצורה זהה: אובייקט אחד, חלון אחד, שלב אחד. כל דבר רחב יותר הוא סיכום, לא אבחנה.