Engedélyezze az AWS VPN-alagút naplóit egy élő alagúton?

Az alagút-tevékenységnaplók bekapcsolása egy Site-to-Site VPN-hez kis változás, amely leboríthatja azt az alagutat, amelyet mér. Az AWS figyelmeztet, hogy a naplózás engedélyezése egy meglévő alagúton több percre is megszakíthatja azt, ezért az érdekes kérdés nem az, hogyan billentsük át a jelzőt, hanem hogy melyik alagúton és mikor. Három feltétel dönti el a sorrendet: a másik alagút valóban hordozza-e az útvonalakat, szolgáltatáseseményekre vagy BGP-eseményekre van-e szüksége, és a konzolon vagy az alagútbeállítások API-ján keresztül megy-e a változtatás. Ha ezeket elrontja, vagy kieséssel, vagy semmivel teli naplócsoporttal végzi.

Három feltétel dönti el a sorrendet

Kezdje annak a dolognak az azonosításával, amit módosít. Szüksége van a VPN-kapcsolat azonosítójára, a régióra és az adott alagút külső IP-címére, mert ebben a funkcióban minden naplóbeállítás alagútonként, nem kapcsolatonként értendő. A rossz külső címre alkalmazott változtatás egy olyan alagút módosítása, amelyet senki nem hibakeresett.

A cél egy CloudWatch-naplócsoport ugyanabban a régióban, azzal a megőrzéssel és hozzáférési szabályzattal, amelyet valóban szeretne. Az AWS a /aws/vendedlogs/ előtagot javasolja ezekhez a csoportokhoz, mert elkerüli az erőforrás-szabályzat azon mérethatárait, amelyekbe az egyszerű nevek ütközhetnek. Az olyan név, mint a /aws/vendedlogs/vpn/branch-a-activity, csak szemléltetés; az a fontos, hogy a csoport létezik, hogy az átadási szerep tud bele írni, és hogy mindkettőt az kezeli, aki a VPN konfigurációját birtokolja. A név nem ad engedélyeket, és az átadási szabályzat nélkül létrehozott csoport csendet produkál hiba helyett.

Első feltétel: egy redundáns alagút, amely valóban forgalmat hordoz

Ezt a feltételt szokták kihagyni a csapatok. Két beállított alagút nem bizonyíték arra, hogy az alkalmazásnak használható alternatív útvonala van.

Mielőtt hozzányúlna egy alagúthoz, erősítse meg, hogy a másik hordozza a fontos útvonalakat: ellenőrizze az útválasztási táblát az ügyfélátjáró oldalán, és erősítse meg, hogy az alkalmazás valóban át tud kapcsolni. Az AWS megszakítási ablaka percek, nem másodpercek, és a csak papíron létező alagút diagnosztikai változtatást kieséssé tesz. Ha a redundáns útvonal nem bizonyított, ugyanolyan gonddal tervezze meg a változtatást, mint bármely más útválasztási módosítást, ahelyett hogy a naplózást passzívnak tekintené. Azt az alagutat műszerezze, amelynek viselkedését megpróbálja megmagyarázni, nem azt, amelyik könnyebben elérhető.

Második feltétel: tevékenységnapló vagy BGP-napló

Ez dönti el, mit tud majd valóban elolvasni. A tevékenységrekordok lefedik a szolgáltatáseseményeket, például az IKE- és IPsec-állapotátmeneteket és a DPD-üzeneteket, amire akkor van szüksége, ha az alagút nem jön fel, vagy folyamatosan kulcsot újít. A BGP-rekordok külön adatfolyam saját vezérlőkkel, és más kérdésre válaszolnak: az útvonalak cseréje és visszavonása a várt módon történt-e.

A tevékenységjelző engedélyezése nem kérés a szolgáltatás által kibocsátható összes adatfolyamra. Ha a gyanú az útválasztás, engedélyezze mindkettőt; ha a gyanú az 1. vagy 2. fázis egyeztetése, a tevékenységfolyam az, amely megmutatja.

Egyik adatfolyam sem csomagrögzítés, és ez a különbség több hibajegyet dönt el, mint kellene. A tevékenység- és BGP-rekordok azt mondják meg, mit tett a szolgáltatás az alagúttal és a munkamenettel, nem azt, hogy az alkalmazása mit küldött rajta keresztül. Alagútnaplókhoz nyúlni egy alkalmazás-időtúllépés hibakereséséhez kategóriahiba, és általában egy megszakítási ablakba kerül, mire valaki észreveszi. Először a kérdést válassza ki, aztán az adatfolyamot, amely meg tud rá válaszolni.

Harmadik feltétel: konzolos módosítás vagy alagútbeállítások API

Ha egy ember egyszeri módosítást végez, a konzolos útvonal rendben van: VPC console, Site-to-Site VPN connections, válassza ki a kapcsolatot, Actions, Modify VPN tunnel options, válassza ki a külső IP-t, engedélyezze a Tunnel activity logot, válassza ki a csoportot és a kimeneti formátumot, mentse az ablakon belül. Ha a VPN-t kódként kezelik, ugyanaz a kattintás olyan eltérés, amelyet később egyeztetni fog.

Az automatizáláshoz az alagútbeállítások tevékenységnapló-része rögzített formájú: LogOptions tartalmazza CloudWatchLogOptions-at LogEnabled, LogGroupArn és LogOutputFormat mezőkkel. Ez a blokk töredék, nem kérés; a modify-vpn-tunnel-options-nek továbbra is kell a kapcsolat azonosítója és az alagút külső IP-je, a többi alagútbeállítást pedig a sablon tulajdonosának kell megőriznie. A BGP-naplózás a saját BgpLogEnabled, BgpLogGroupArn és BgpLogOutputFormat kulcsait használja ugyanabban a struktúrában. Olvassa vissza a változtatást a describe-vpn-connections segítségével, ahelyett hogy bízna abban, hogy a hívás érvényesült.

Mit mondhatnak el a rekordok és mit nem

Miután az első alagút elkészült és a tervezett útvonal elérhető, ismételje meg ugyanazt a kontrollált sorozatot a második alagútnál, ha annak naplóira is szüksége van. Egyszerre egy alagút az egész lényeg.

A rekordok olyan adatfolyamokban érkeznek, amelyeket a kapcsolat és az alagút külső címe azonosít, ezért ahhoz az identitáshoz korreláljon, ahelyett hogy várná, hogy az előzmények visszamenőleg megjelenjenek. Semmi nem létezik a változtatás előtt, és semmilyen várakozás nem tölti ki a hiányt. Ha alapvonalra van szüksége, rögzítse az alagút jelenlegi állapotát és az útválasztási táblát a változtatás előtt, hogy legyen mihez hasonlítani.

Tartsa a naplócsoportot, annak megőrzését, átadási engedélyeit és az alagútbeállítás-blokkot ugyanabban a leltárban, mint magát a VPN-t, mert ezek egyetlen konfiguráció négy helyre szórva. Az AWS naplóengedélyezési eljárása dokumentálja az alagútonkénti munkafolyamatot és a megszakítási figyelmeztetést, és érdemes a változtatás előtt elolvasni, nem utána. Ezután sorrendben ellenőrizze: az alagút visszatért, a rekordok megjelennek a várt adatfolyamban, és a rekordok válaszolnak arra a kérdésre, amely miatt a hibajegyet megnyitotta. Ha a harmadik elbukik, a probléma az adatfolyam választása volt, nem a naplózás.