Trebate li omogućiti zapise tunela AWS VPN na aktivnom tunelu?

Uključivanje zapisa aktivnosti tunela za Site-to-Site VPN mala je promjena koja može srušiti tunel koji mjeri. AWS upozorava da omogućavanje evidentiranja na postojećem tunelu može prekinuti tunel na nekoliko minuta, pa zanimljivo pitanje nije kako prebaciti zastavicu, već na kojem tunelu je prebaciti i kada. Tri uvjeta određuju redoslijed: nosi li drugi tunel uistinu rute, trebaju li vam uslužni događaji ili BGP događaji, i ide li promjena preko konzole ili preko API-ja opcija tunela. Pogriješite li, završit ćete ili s prekidom ili s grupom zapisa punom ničega.

Tri uvjeta određuju redoslijed

Krenite od identiteta stvari koju mijenjate. Trebaju vam ID VPN veze, regija i vanjska IP adresa konkretnog tunela, jer je svaka postavka zapisa u ovoj značajki po tunelu, a ne po vezi. Promjena primijenjena na pogrešnu vanjsku adresu promjena je na tunelu koji nitko nije otklanjao.

Odredište je grupa zapisa CloudWatch u istoj regiji, s pravilima zadržavanja i pristupa koja doista želite. AWS preporučuje prefiks /aws/vendedlogs/ za te grupe jer izbjegava ograničenja veličine pravila resursa na koja mogu naletjeti obična imena. Ime poput /aws/vendedlogs/vpn/branch-a-activity samo je ilustrativno; važno je da grupa postoji, da u nju može pisati uloga za dostavu i da oboje vodi onaj tko posjeduje konfiguraciju VPN-a. Ime ne daje ovlasti, a grupa stvorena bez pravila dostave proizvodi tišinu, a ne grešku.

Prvi uvjet: rezervni tunel koji doista nosi promet

To je uvjet koji timovi preskaču. Dva konfigurirana tunela nisu dokaz da aplikacija ima upotrebljiv alternativni put.

Prije nego dotaknete jedan tunel, potvrdite da drugi nosi rute koje su važne: provjerite tablicu usmjeravanja na strani korisničkog pristupnika i potvrdite da se aplikacija doista može prebaciti. AWS-ov prozor prekida traje minutama, ne sekundama, a tunel koji postoji samo na papiru pretvara dijagnostičku promjenu u prekid. Ako rezervni put nije dokazan, isplanirajte promjenu s istom pažnjom kao i svaku drugu promjenu usmjeravanja, umjesto da evidentiranje tretirate kao pasivno. Instrumentirajte tunel čije ponašanje pokušavate objasniti, a ne onaj do kojeg je lakše doći.

Drugi uvjet: zapis aktivnosti ili BGP zapis

Ovaj uvjet odlučuje što ćete zapravo moći čitati. Zapis aktivnosti pokriva uslužne događaje poput prijelaza stanja IKE i IPsec te DPD poruka, što želite kada se tunel ne diže ili stalno obnavlja ključeve. BGP zapisi su zaseban tok s vlastitim kontrolama i odgovaraju na drugo pitanje: jesu li rute razmijenjene i povučene kako se očekivalo.

Uključivanje zastavice aktivnosti nije zahtjev za svaki tok koji usluga može emitirati. Ako je sumnja u usmjeravanje, uključite oboje; ako je sumnja u pregovaranje faze 1 ili faze 2, tok aktivnosti je onaj koji će to pokazati.

Nijedan tok nije hvatanje paketa i ta razlika rješava više tiketa nego što bi trebala. Zapis aktivnosti i BGP zapisi govore što je usluga učinila s tunelom i sesijom, a ne što je vaša aplikacija poslala kroz njih. Posegnuti za zapisima tunela da biste otklonili aplikacijski timeout jest pogreška kategorije i obično košta jedan prozor prekida prije nego što itko primijeti. Prvo odaberite pitanje, zatim tok koji na njega može odgovoriti.

Treći uvjet: promjena preko konzole ili API-ja opcija tunela

Ako čovjek radi jednokratnu promjenu, put preko konzole je u redu: VPC console, Site-to-Site VPN connections, odaberite vezu, Actions, Modify VPN tunnel options, odaberite vanjski IP, uključite Tunnel activity log, odaberite grupu i izlazni format, spremite unutar prozora. Ako se VPN upravlja kao kod, isti je klik drift koji ćete kasnije uskladiti.

Za automatizaciju, dio opcija tunela koji se odnosi na zapis aktivnosti ima fiksni oblik: LogOptions sadrži CloudWatchLogOptions s LogEnabled, LogGroupArn i LogOutputFormat. Taj je blok fragment, ne zahtjev; modify-vpn-tunnel-options i dalje treba ID veze i vanjski IP tunela, a preostale postavke tunela mora sačuvati onaj tko posjeduje predložak. BGP evidentiranje koristi vlastite ključeve BgpLogEnabled, BgpLogGroupArn i BgpLogOutputFormat u istoj strukturi. Pročitajte promjenu natrag pomoću describe-vpn-connections umjesto da vjerujete da se poziv primijenio.

Što vam zapisi mogu, a što ne mogu reći

Kad je prvi tunel gotov i željeni put dostupan, ponovite isti kontrolirani slijed za drugi tunel ako trebate i njegove zapise. Jedan tunel odjednom cijela je poanta.

Zapisi dolaze u tokovima koje identificiraju veza i vanjska adresa tunela, pa korelirajte s tim identitetom umjesto da očekujete da će se povijest pojaviti retroaktivno. Ništa prije promjene ne postoji i nikakvo čekanje ne popunjava prazninu. Ako vam treba osnovna crta, zabilježite trenutačno stanje tunela i tablicu usmjeravanja prije promjene kako biste imali s čim usporediti.

Držite grupu zapisa, njezino zadržavanje, njezine ovlasti za dostavu i blok opcija tunela u istom popisu kao i sam VPN, jer je to jedna konfiguracija raspršena na četiri mjesta. AWS-ov postupak za uključivanje zapisa dokumentira tijek rada po tunelu i njegovo upozorenje o prekidu i vrijedi ga pročitati prije promjene, a ne poslije. Zatim provjerite redom: tunel se vratio, zapisi se pojavljuju u očekivanom toku i zapisi odgovaraju na pitanje zbog kojeg ste otvorili tiket. Ako treće ne uspije, problem je bio izbor toka, a ne evidentiranje.