AWS VPN туннелінің журналдарын жұмыс істеп тұрған туннельде қосу керек пе?

Site-to-Site VPN үшін туннель белсенділігінің журналдарын қосу — өзі өлшеп тұрған туннельді құлатуы мүмкін шағын өзгеріс. AWS бар туннельде журнал жазуын қосу оны бірнеше минутқа үзуі мүмкін деп ескертеді, сондықтан қызық сұрақ — жалаушаны қалай аударыстыру емес, оны қай туннельде және қашан аударыстыру. Тәртіпті үш шарт анықтайды: екінші туннель маршруттарды шынымен тасымалдай ма, сізге қызмет оқиғалары қажет пе әлде BGP оқиғалары ма, және өзгеріс консоль арқылы ма әлде туннель параметрлерінің API арқылы ма жүреді. Осыларды қателессеңіз, үзіліспен немесе ештеңеге толы журнал тобымен қаласыз.

Тәртіпті үш шарт анықтайды

Өзгертетін нәрсенің сәйкестігінен бастаңыз. Сізге VPN қосылымының ID-і, аймақ және нақты туннельдің сыртқы IP мекенжайы қажет, өйткені бұл мүмкіндіктегі әрбір журнал параметрі қосылымға емес, туннельге қатысты. Қате сыртқы мекенжайға қолданылған өзгеріс — ешкім жөндеп жатпаған туннельдегі өзгеріс.

Межелеу орны — сол аймақтағы CloudWatch журнал тобы, өзіңіз шынымен қалайтын сақтау және қатынау саясатымен. AWS бұл топтарға /aws/vendedlogs/ префиксін ұсынады, өйткені ол қарапайым атаулар тап болуы мүмкін ресурс саясатының өлшем шектеулерінен жалтарады. /aws/vendedlogs/vpn/branch-a-activity сияқты атау тек мысал; маңыздысы — топтың бар болуы, жеткізу рөлінің оған жаза алуы және екеуін де VPN конфигурациясының иесі басқаруы. Атау рұқсат бермейді, ал жеткізу саясатынсыз құрылған топ қате емес, тыныштық туғызады.

Бірінші шарт: трафикті шынымен тасымалдайтын резервтік туннель

Бұл — командалар өткізіп жіберетін шарт. Конфигурацияланған екі туннель қолданбаның пайдалануға жарамды балама жолы бар екеніне дәлел емес.

Бір туннельге тиіспес бұрын, екіншісінің маңызды маршруттарды тасымалдайтынына көз жеткізіңіз: тұтынушы шлюзі жағындағы маршруттау кестесін тексеріп, қолданбаның шынымен ауыса алатынын растаңыз. AWS үзіліс терезесі минуттармен, секундтармен емес өлшенеді, ал тек қағазда ғана бар туннель диагностикалық өзгерісті үзіліске айналдырады. Егер резервтік жол дәлелденбесе, журнал жазуды пассивті деп санаудың орнына өзгерісті кез келген басқа маршруттау өзгерісіндей ұқыптылықпен жоспарлаңыз. Мінез-құлқын түсіндірмек болған туннельді аспаптаңыз, жетуге оңайырағын емес.

Екінші шарт: белсенділік журналы немесе BGP журналы

Бұл қайсысын шынымен оқи алатыныңызды шешеді. Белсенділік жазбалары IKE мен IPsec күй ауысулары және DPD хабарламалары сияқты қызмет оқиғаларын қамтиды, бұл туннель көтерілмегенде немесе кілттерді үнемі жаңартқанда керегіңіз. BGP жазбалары — өз бақылауы бар бөлек ағын, олар басқа сұраққа жауап береді: маршруттар күтілгендей алмасып, қайтарылып алынды ма.

Белсенділік жалаушасын қосу — қызмет шығара алатын әрбір ағынға сұраныс емес. Күмән маршруттауда болса, екеуін де қосыңыз; күмән 1-ші немесе 2-ші фаза келіссөзінде болса, оны белсенділік ағыны көрсетеді.

Екі ағынның ешқайсысы пакет ұстау емес, бұл айырмашылық қажеттен көп билетті шешеді. Белсенділік және BGP жазбалары қызметтің туннель мен сессиямен не істегенін айтады, қолданбаңыз ол арқылы не жібергенін емес. Қолданба тайм-аутын жөндеу үшін туннель журналдарына жүгіну — санат қатесі, және ол әдетте біреу байқағанша бір үзіліс терезесін тұрады. Алдымен сұрақты таңдаңыз, содан кейін оған жауап бере алатын ағынды.

Үшінші шарт: консольден өзгерту немесе туннель параметрлерінің API

Егер адам бір реттік өзгеріс жасаса, консоль жолы жарайды: VPC console, Site-to-Site VPN connections, қосылымды таңдаңыз, Actions, Modify VPN tunnel options, сыртқы IP-ні таңдаңыз, Tunnel activity log-ты қосыңыз, топ пен шығу пішімін таңдап, терезе ішінде сақтаңыз. Егер VPN код ретінде басқарылса, сол басу кейін реттейтін дрейф.

Автоматтандыру үшін туннель параметрлерінің белсенділік-журнал бөлігінің тұрақты пішіні бар: LogOptions блогы CloudWatchLogOptions-ті қамтиды, оның ішінде LogEnabled, LogGroupArn және LogOutputFormat бар. Бұл блок — фрагмент, сұраныс емес; modify-vpn-tunnel-options әлі де қосылым ID-ін және туннельдің сыртқы IP-сін қажет етеді, ал қалған туннель параметрлерін үлгінің иесі сақтауы керек. BGP журналы сол құрылымда өз BgpLogEnabled, BgpLogGroupArn және BgpLogOutputFormat кілттерін пайдаланады. Шақыру қолданылды деп сенудің орнына өзгерісті describe-vpn-connections арқылы қайта оқыңыз.

Жазбалар не айта алады және не айта алмайды

Бірінші туннель біткенде және көзделген жол қолжетімді болғанда, егер екінші туннельдің журналдары да керек болса, сол басқарылатын реттілікті қайталаңыз. Бір уақытта бір туннель — мәселенің бүкіл мәні осында.

Жазбалар қосылым мен туннельдің сыртқы мекенжайымен анықталатын ағындарда келеді, сондықтан тарихтың кейіннен шығуын күтудің орнына сол сәйкестікпен байланыстырыңыз. Өзгеріске дейін ештеңе жоқ, және қанша күтсеңіз де ол олқылық толмайды. Егер бастапқы сызық керек болса, салыстыратын нәрсе болуы үшін өзгеріске дейін туннельдің ағымдағы күйі мен маршруттау кестесін жазып алыңыз.

Журнал тобын, оның сақталуын, жеткізу рұқсаттарын және туннель параметрлерінің блогын VPN-нің өзімен бір инвентарьда ұстаңыз, өйткені олар төрт жерге таралған бір конфигурация. AWS-тің журналдарды қосу рәсімі туннель бойынша жұмыс ағынын және оның үзіліс ескертуін құжаттайды, оны өзгерістен кейін емес, бұрын оқыған жөн. Содан кейін ретімен тексеріңіз: туннель қайтты, жазбалар күтілген ағында пайда болды және жазбалар билет ашқан сұрағыңызға жауап береді. Үшіншісі сәтсіз болса, мәселе ағынды таңдауда болды, журнал жазда емес.