Ættir þú að kveikja á AWS VPN-tunnelskrám á lifandi tunneli?

Að kveikja á virkniskrám tunnels fyrir Site-to-Site VPN er lítil breyting sem getur fellt tunnelið sem hún mælir. AWS varar við því að virkja skráningu á núverandi tunneli geti truflað það í nokkrar mínútur, svo áhugaverða spurningin er ekki hvernig á að snúa fánanum heldur á hvaða tunneli á að snúa honum og hvenær. Þrjú skilyrði ráða röðinni: hvort hitt tunnelið ber raunverulega leiðirnar, hvort þú þarft þjónustuatburði eða BGP-atburði, og hvort breytingin fer í gegnum stjórnborðið eða API valkosta tunnelsins. Farðu rangt með þetta og þú endar annað hvort með truflun eða skrárflokk fullan af engu.

Þrjú skilyrði ráða röðinni

Byrjaðu á auðkenni þess sem þú ert að breyta. Þú þarft auðkenni VPN-tengingarinnar, svæðið og ytri IP-tölu tunnelsins, því hver skráarstilling í þessum eiginleika er fyrir hvert tunneli en ekki hverja tengingu. Breyting sem beitt er á ranga ytri IP-tölu er breyting á tunneli sem enginn var að kemba.

Áfangastaðurinn er CloudWatch-skrárflokkur í sama svæði, með þeirri varðveislu og aðgangsstefnu sem þú vilt í raun. AWS mælir með forskeytinu /aws/vendedlogs/ fyrir þessa flokka því það forðast stærðartakmarkanir auðlindastefnu sem venjuleg nöfn geta rekist á. Nafn eins og /aws/vendedlogs/vpn/branch-a-activity er aðeins dæmi; það sem skiptir máli er að flokkurinn sé til, að afhendingarhlutverkið geti skrifað í hann og að bæði séu stýrð af þeim sem á VPN-stillingarnar. Nafnið veitir engar heimildir, og flokkur sem búinn er til án afhendingarstefnunnar framleiðir þögn í stað villu.

Fyrsta skilyrði: varaleiðartunneli sem ber raunverulega umferð

Þetta er skilyrðið sem teymi sleppa. Tvö stillt tunneli eru ekki sönnun þess að forritið hafi nothæfa aðra leið.

Áður en þú snertir eitt tunnelið skaltu staðfesta að hitt beri leiðirnar sem skipta máli: skoðaðu leiðatöfluna á hlið viðskiptavinahliðsins og staðfestu að forritið geti raunverulega skipt yfir. Truflunargluggi AWS er nokkrar mínútur, ekki sekúndur, og tunneli sem er aðeins á pappír breytir greiningarbreytingu í truflun. Ef varaleiðin er ekki sönnuð skaltu tímasetja breytinguna af sama kostgæfni og hverja aðra leiðabreytingu í stað þess að líta á skráningu sem óvirka. Mældu tunnelið sem þú ert að reyna að útskýra hegðunina á, ekki það sem auðveldara er að ná í.

Annað skilyrði: virkniskrá eða BGP-skrá

Þetta ræður því hvað þú getur í raun lesið. Virknifærslur ná yfir þjónustuatburði eins og IKE- og IPsec-stöðubreytingar og DPD-skilaboð, sem er það sem þú vilt þegar tunnelið rís ekki eða endurnýjar lykla stöðugt. BGP-færslur eru sér streymi með eigin stýringum og svara annarri spurningu: voru leiðir skipt og dregnar til baka eins og búist var við.

Að virkja virknifánann er ekki beiðni um hvert streymi sem þjónustan getur sent frá sér. Ef grunurinn er leiðavalið skaltu virkja bæði; ef grunurinn er samningaviðræður fasa 1 eða fasa 2 er virknistreymið það sem mun sýna það.

Í hvorugu streyminu felst pakkafanga og sá munur leysir fleiri mál en ætti að vera. Virkni- og BGP-færslur segja þér hvað þjónustan gerði við tunnelið og lotuna, ekki hvað forritið þitt sendi í gegnum það. Að grípa til tunnels-skráa til að kemba tímatakmörk forrits er flokksvilla og kostar yfirleitt truflunarglugga áður en einhver tekur eftir. Veldu spurninguna fyrst, svo streymið sem getur svarað henni.

Þriðja skilyrði: breyting í stjórnborðinu eða API valkosta tunnelsins

Ef maður gerir einstaka breytingu er stjórnborðsleiðin í lagi: VPC console, Site-to-Site VPN connections, veldu tenginguna, Actions, Modify VPN tunnel options, veldu ytri IP, virkjaðu Tunnel activity log, veldu flokkinn og úttaksformið, vistaðu innan gluggans. Ef VPN er stýrt sem kóða er sama smellan reik sem þú samræmir síðar.

Fyrir sjálfvirknivæðingu hefur virkniskrárhluti valkosta tunnelsins fast form: LogOptions inniheldur CloudWatchLogOptions með LogEnabled, LogGroupArn og LogOutputFormat. Sá blokkur er brot, ekki beiðni; modify-vpn-tunnel-options þarf enn auðkenni tengingarinnar og ytri IP-tölu tunnelsins, og restina af stillingum tunnelsins verður sá sem á sniðmátið að varðveita. BGP-skráning notar eigin lykla BgpLogEnabled, BgpLogGroupArn og BgpLogOutputFormat í sömu uppbyggingu. Lestu breytinguna til baka með describe-vpn-connections í stað þess að treysta því að kallið hafi verið beitt.

Hvað færslurnar geta og geta ekki sagt þér

Þegar fyrsta tunnelið er búið og ætluð leið er tiltæk skaltu endurtaka sömu stýrðu röð fyrir annað tunnelið ef þú þarft líka skrárnar þess. Eitt tunneli í einu er allur punkturinn.

Færslur koma í streymum sem auðkennd eru af tengingunni og ytri IP-tölu tunnelsins, svo tengdu við það auðkenni í stað þess að búast við að saga birtist eftir á. Ekkert fyrir breytinguna er til, og engin bið fyllir skarðið. Ef þú þarft grunnlínu skaltu skrá núverandi ástand tunnelsins og leiðatöfluna fyrir breytinguna svo eitthvað sé til að bera saman við.

Haltu skrárflokknum, varðveislu hans, afhendingarheimildum og valkostablokki tunnelsins í sömu skrá og VPN-ið sjálft, því þetta er ein uppsetning dreift á fjóra staði. Verklag AWS við að virkja skrár skjalfestir vinnuflæðið fyrir hvert tunneli og viðvörun þess um truflun, og það er þess virði að lesa það fyrir breytinguna frekar en eftir. Staðfestu svo í röð: tunnelið kom aftur, færslur birtast í væntanlegu streymi og færslurnar svara spurningunni sem þú opnaðir miðann fyrir. Ef þriðja atriðið mistekst var vandamálið val á streymi en ekki skráningin.