Status Cloud VPN: baca status resource sebelum log IKE

Tunnel Cloud VPN menjalankan dua siklus hidup sekaligus, dan keduanya tidak berada pada jam yang sama. Resource harus dialokasikan dan dikonfigurasi sebelum dapat bernegosiasi, dan setelah itu protokol memiliki urutan pesan IKE sendiri. Kolom status dapat melaporkan yang pertama tanpa mengatakan apa pun yang berguna tentang yang kedua. Membacanya sebagai satu hal adalah cara ketidakcocokan kunci disalahkan atas keterlambatan penyediaan.

Mulailah dengan satu objek tunnel dan satu jendela waktu.

Dua siklus hidup, satu objek tunnel

Siklus hidup resource adalah penyedia menyiapkan tunnel: alamat, konfigurasi, kapasitas. Siklus hidup protokol dimulai setelah kedua peer memiliki cukup konfigurasi untuk bertukar IKE_SA_INIT, lalu IKE_AUTH, lalu asosiasi keamanan anak. Tunnel yang masih di fase pertama belum gagal autentikasi, karena autentikasi belum dicoba.

Perbedaan itulah seluruh masalahnya. Sisanya adalah cara mengamatinya tanpa menggabungkan pesan yang tidak berkaitan.

Baca objeknya, bukan ringkasan konsol

Mintalah API dua kolom yang penting dan tidak lebih, agar jawabannya tetap cukup kecil untuk dibaca pukul tiga pagi: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Kolom status menamai tahap siklus hidup, dan detailedStatus membawa alasan yang dapat dibaca yang melekat padanya. Dump konfigurasi lengkap menjawab pertanyaan lain dan lebih sulit ditempelkan ke tiket. Panggilan hanya-baca seperti ini tidak dapat mengubah tunnel, yang penting selama insiden masih berlangsung.

Catat stempel waktu panggilan di samping nilainya, karena kedua kolom bergerak.

ALLOCATING_RESOURCES bukan ketidakcocokan kunci

Saat tunnel melaporkan ALLOCATING_RESOURCES, penyedia masih merakit objeknya. Ketidakcocokan kunci yang dibagikan sebelumnya tidak dapat diamati pada tahap itu, dan porta peer yang terblokir sama-sama belum terbukti. Yang dapat Anda periksa adalah pesan terperinci, apakah proyek dan layanan terlihat sehat, dan apakah konfigurasi tunnel cukup lengkap untuk menghubungi peer sama sekali. Mengganti rahasia sekarang mengubah nilai yang tidak pernah diuji.

Tunggu hingga status bergerak sebelum menarik kesimpulan tentang konfigurasi.

ESTABLISHED adalah awal pemeriksaan akses

Tunnel yang terbentuk berarti IKE selesai, bukan berarti lalu lintas mengalir. Pastikan rute yang dibawa tunnel dan, di tempat Cloud Router terlibat, pastikan sesi BGP serta prefiks yang dipelajarinya. Lalu uji pertukaran aplikasi yang diizinkan, karena aturan firewall atau rute yang hilang dapat memblokir lalu lintas melalui tunnel yang sepenuhnya sehat. Masing-masing adalah pengamatan terpisah dengan perbaikan terpisah.

Status memberi tahu Anda pertanyaan mana yang harus diajukan berikutnya. Status tidak pernah menjawab pertanyaan akses untuk Anda.

Hubungkan satu objek dan satu jendela waktu

Kegagalan autentikasi lama di log milik percobaan sebelumnya, kecuali stempel waktunya jatuh di dalam jendela yang sedang Anda selidiki. Tarik log untuk resource tunnel pada menit yang sama dengan status yang Anda catat, dan simpan pengenalnya bersama. Peristiwa IKE yang lebih baru dapat menunjukkan bahwa negosiasi telah dimulai sementara pesan konsol yang Anda tatap sudah usang.

Jika tunnel pulih sebelum Anda mengumpulkan apa pun, katakan demikian. Penyebab yang belum ditentukan adalah catatan yang lebih baik daripada cerita percaya diri yang dirakit dari baris yang tidak berkaitan.

Langkah berikutnya selalu berbentuk sama: satu objek, satu jendela, satu tahap. Apa pun yang lebih luas adalah ringkasan, bukan diagnosis.