Cloud VPN күйі: IKE журналына дейін ресурс күйін оқыңыз

Cloud VPN туннелі бір уақытта екі өмірлік циклді жүргізеді және олар бір сағатта емес. Ресурс келіссөз жүргізе алуы үшін алдымен бөлініп, конфигурациялануы керек, ал содан кейін протоколдың өзіндік IKE хабарлама реті бар. Күй өрісі біріншісін хабарлап, екіншісі туралы ешбір пайдалы нәрсе айтпауы мүмкін. Оларды бір нәрсе ретінде оқу — кілт сәйкессіздігіне дайындау кідірісінің кінәсін жүктеудің жолы.

Бір туннель нысанынан және бір уақыт терезесінен бастаңыз.

Екі өмірлік цикл, бір туннель нысаны

Ресурстың өмірлік циклі — провайдердің туннельді дайындауы: мекенжайлар, конфигурация, сыйымдылық. Протоколдың өмірлік циклі екі тарапта IKE_SA_INIT, содан кейін IKE_AUTH, содан кейін еншілес қауіпсіздік ассоциацияларын алмасуға жеткілікті конфигурация болғанда басталады. Бірінші фазада тұрған туннель аутентификациядан өтпей қалған жоқ, өйткені аутентификация әлі сыналмаған.

Осы айырмашылық — бүкіл мәселе. Қалғаны байланыссыз хабарламаларды біріктірмей оны қалай бақылау керектігі туралы.

Нысанды оқыңыз, консоль қорытындысын емес

API-ден тек маңызды екі өрісті сұраңыз, басқа ештеңе емес, сонда жауап түнде сағат үште оқуға жететіндей шағын болып қалады: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status өрісі өмірлік цикл кезеңін атайды, ал detailedStatus оған тіркелген оқылатын себепті тасымалдайды. Толық конфигурация дампы басқа сұрақтарға жауап береді және оны билетке қою қиынырақ. Осындай тек оқуға арналған шақырулар туннельді өзгерте алмайды, бұл оқиға әлі белсенді кезде маңызды.

Шақырудың уақыт белгісін мәндердің жанына жазыңыз, өйткені екі өріс те қозғалады.

ALLOCATING_RESOURCES кілт сәйкессіздігі емес

Туннель ALLOCATING_RESOURCES хабарлағанда, провайдер әлі нысанды құрастырып жатыр. Алдын ала ортақ кілттің сәйкессіздігін сол кезеңде байқау мүмкін емес, ал бұғатталған пир порты да сол дәрежеде дәлелсіз. Тексере алатыныңыз — егжей-тегжейлі хабарлама, жоба мен қызметтің сау көрінуі және туннель конфигурациясының пирмен байланысуға жеткілікті толық болуы. Құпияны қазір ауыстыру ешқашан сыналмаған мәнді өзгертеді.

Конфигурация туралы қорытынды жасамас бұрын күйдің өзгеруін күтіңіз.

ESTABLISHED — қатынау тексерістерінің басы

Құрылған туннель IKE аяқталғанын білдіреді, трафиктің ағып жатқанын емес. Туннель тасымалдайтын маршруттарды растаңыз және Cloud Router қатысатын жерде BGP сессиясы мен ол үйренген префикстерді растаңыз. Содан кейін рұқсат етілген қолданба алмасуын сынаңыз, өйткені брандмауэр ережесі немесе жоқ маршрут толық сау туннель арқылы трафикті бөгеуі мүмкін. Олардың әрқайсысы жеке бақылау және жеке түзету.

Күй келесі қандай сұрақ қою керектігін айтады. Ол қатынау сұрағына сіздің орныңызға ешқашан жауап бермейді.

Бір нысанды және бір уақыт терезесін сәйкестендіріңіз

Журналдағы ескі аутентификация сәтсіздігі бұрынғы әрекетке жатады, егер оның уақыт белгісі сіз зерттеп жатқан терезенің ішіне түспесе. Туннель ресурсының журналдарын жазылған күймен бір минуттар үшін тартып алыңыз және идентификаторларды бірге ұстаңыз. Кейінгі IKE оқиғасы келіссөздің басталғанын көрсетуі мүмкін, ал сіз қарап отырған консоль хабарламасы әлдеқашан ескірген.

Егер туннель бірдеңе жинамай тұрып қалпына келсе, соны айтыңыз. Белгісіз себеп — байланыссыз жолдардан құралған сенімді әңгімеден жақсырақ жазба.

Келесі қадам әрқашан бір пішінде: бір нысан, бір терезе, бір кезең. Бұдан кеңірек нәрсенің бәрі қорытынды, диагноз емес.