Cloud VPN абалы: IKE журналынан мурун ресурстун абалын окуңуз

Cloud VPN туннели бир убакта эки жашоо циклин жүргүзөт жана алар бир саатта эмес. Ресурс сүйлөшүү жүргүзө алышы үчүн адегенде бөлүштүрүлүп, конфигурацияланышы керек, андан кийин протоколдун өзүнүн IKE билдирүүлөрүнүн тартиби бар. Абал талаасы биринчисин билдирип, экинчиси жөнүндө эч кандай пайдалуу нерсе айтпашы мүмкүн. Аларды бир нерсе катары окуу — ачкычтын дал келбестигине камсыздоо кечигүүсүнүн күнөөсүн жүктөөнүн жолу.

Бир туннель объектиси жана бир убакыт терезеси менен баштаңыз.

Эки жашоо цикли, бир туннель объектиси

Ресурстун жашоо цикли — провайдердин туннелди даярдашы: даректер, конфигурация, сыйымдуулук. Протоколдун жашоо цикли эки тарапта IKE_SA_INIT, андан кийин IKE_AUTH, андан кийин бала коопсуздук ассоциацияларын алмашууга жетиштүү конфигурация болгондо башталат. Биринчи фазада турган туннель аутентификацияда ийгиликсиз болгон жок, анткени аутентификация али сыналган эмес.

Ошол айырма — бүт көйгөй. Калганы байланышсыз билдирүүлөрдү бириктирбестен аны кантип байкоо керектиги жөнүндө.

Объектти окуңуз, консолдун корутундусун эмес

APIден маанилүү эки талааны гана сураңыз, башка эч нерсе эмес, ошондо жооп түнү саат үчтө окууга жеткидей кичине бойдон калат: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status талаасы жашоо циклинин баскычын атайт, ал эми detailedStatus ага байланган окула турган себепти алып жүрөт. Толук конфигурация дүмпүсү башка суроолорго жооп берет жана аны билетке чаптоо кыйыныраак. Ушундай тек окуу үчүн гана чакыруулар туннелди өзгөртө албайт, бул окуя дагы активдүү кезде маанилүү.

Чакыруунун убакыт белгисин маанилердин жанына жазыңыз, анткени эки талаа тең кыймылдайт.

ALLOCATING_RESOURCES ачкычтын дал келбестиги эмес

Туннель ALLOCATING_RESOURCES деп билдиргенде, провайдер али объектти курап жатат. Алдын ала бөлүшүлгөн ачкычтын дал келбестигин ошол баскычта байкоого болбойт, ал эми блоктолгон пир порту да ошондой эле далилденбеген. Текшере ала турганыңыз — кенен билдирүү, долбоор менен кызматтын ден соолугу жана туннель конфигурациясынын пир менен байланышууга жетиштүү толук болушу. Купуяны азыр алмаштыруу эч качан сыналбаган маанини өзгөртөт.

Конфигурация тууралуу корутунду чыгарбастан мурун абалдын өзгөрүшүн күтүңүз.

ESTABLISHED — кирүү текшерүүлөрүнүн башталышы

Түзүлгөн туннель IKE бүткөнүн билдирет, трафиктин агып жатканын эмес. Туннель алып жүргөн маршруттарды ырастаңыз жана Cloud Router катышкан жерде BGP сессиясын жана ал үйрөнгөн префикстерди ырастаңыз. Андан кийин уруксат берилген колдонмо алмашуусун сынаңыз, анткени брандмауэр эрежеси же жок маршрут толук ден соолуктагы туннел аркылуу трафикти тосуп коюшу мүмкүн. Алардын ар бири өзүнчө байкоо жана өзүнчө түзөтүү.

Абал кийинки кайсы суроону берүүнү айтат. Ал кирүү суроосуна сиздин ордуңузга эч качан жооп бербейт.

Бир объектти жана бир убакыт терезесин байланыштырыңыз

Журналдагы эски аутентификация ийгиликсиздиги мурунку аракетке таандык, эгер анын убакыт белгиси сиз изилдеп жаткан терезенин ичине түшпөсө. Туннель ресурсунун журналдарын жазылган абал менен бир эле мүнөттөр үчүн тартып алыңыз жана идентификаторлорду бирге кармаңыз. Кийинки IKE окуясы сүйлөшүү башталганын көрсөтүшү мүмкүн, ал эми сиз карап турган консол билдирүүсү буга чейин эскирген.

Эгер туннель бир нерсе жыйнай электе калыбына келсе, ошону айтыңыз. Аныкталбаган себеп — байланышсыз саптардан куралган ишенимдүү окуядан жакшыраак жазуу.

Кийинки кадам дайыма бир формада: бир объект, бир терезе, бир баскыч. Андан кененирээк нерсе корутунду, диагноз эмес.