AWS VPN туннелинин журналдарын иштеп жаткан туннелде күйгүзүү керекпи?

Site-to-Site VPN үчүн туннелдин активдүүлүк журналдарын күйгүзүү — өзү өлчөп жаткан туннелди кулатышы мүмкүн болгон кичине өзгөртүү. AWS бар туннелде журнал жазуды күйгүзүү аны бир нече мүнөткө үзүшү мүмкүн деп эскертет, ошондуктан кызыктуу суроо — флажокту кантип которуу эмес, аны кайсы туннелде жана качан которуу. Тартипти үч шарт аныктайт: экинчи туннел маршруттарды чын эле ташып жатабы, сизге кызмат окуялары керекпи же BGP окуялары, жана өзгөртүү консолдонбу же туннел параметрлеринин API аркылуубу. Буларды ката кетирсеңиз, үзүлүү же эч нерсе жок журнал тобу менен каласыз.

Тартипти үч шарт аныктайт

Өзгөртүп жаткан нерсенин идентификациясынан баштаңыз. Сизге VPN туташуусунун ID’си, аймак жана конкреттүү туннелдин тышкы IP дареги керек, анткени бул функциядагы ар бир журнал параметри туташууга эмес, туннелге тиешелүү. Туура эмес тышкы дарекке колдонулган өзгөртүү — эч ким оңдоп жатпаган туннелдеги өзгөртүү.

Бара турган жер — ошол аймактагы CloudWatch журнал тобу, өзүңүз чын эле каалаган сактоо жана кирүү саясаты менен. AWS бул топторго /aws/vendedlogs/ префиксин сунуштайт, анткени ал жөнөкөй аттар туш болушу мүмкүн болгон ресурстук саясаттын өлчөм чектөөлөрүнөн качат. /aws/vendedlogs/vpn/branch-a-activity сыяктуу ат — жөн гана мисал; маанилүүсү — топтун бар экени, жеткирүү ролу ага жаза алары жана экөөнү тең VPN конфигурациясынын ээси башкарары. Ат уруксат бербейт, ал эми жеткирүү саясаты жок түзүлгөн топ ката эмес, тынчтык жаратат.

Биринчи шарт: трафикти чын эле ташыган резервдик туннел

Бул — командалар өткөрүп жиберген шарт. Конфигурацияланган эки туннел колдонмонун пайдаланууга жарактуу башка жолу бар экенине далил эмес.

Бир туннелге тийүүдөн мурун, экинчиси маанилүү маршруттарды ташып жатканын ырастаңыз: кардар шлюзу тараптагы маршруттоо таблицасын текшерип, колдонмо чын эле өтө аларын ырастаңыз. AWSдин үзүлүү терезеси мүнөттөр менен, секунддар менен эмес өлчөнөт, ал эми кагазда гана бар туннел диагностикалык өзгөртүүнү үзүлүүгө айландырат. Эгер резервдик жол далилденбесе, журнал жазуды пассивдүү деп эсептөөнүн ордуна өзгөртүүнү каалаган башка маршруттоо өзгөртүүсүндөй этияттык менен пландаңыз. Жүрүм-турумун түшүндүрүүгө аракет кылган туннелди аспапташтырыңыз, жетүүгө оңоюраагын эмес.

Экинчи шарт: активдүүлүк журналы же BGP журналы

Бул кайсынысын чын эле окуй аларыңызды чечет. Активдүүлүк жазуулары IKE жана IPsec абал өтүүлөрү жана DPD билдирүүлөрү сыяктуу кызмат окуяларын камтыйт, бул туннел көтөрүлбөгөндө же ачкычтарды тынымсыз жаңыртканда керектүү нерсе. BGP жазуулары — өз көзөмөлү бар өзүнчө агым, алар башка суроого жооп берет: маршруттар күтүлгөндөй алмашылып, кайтарылып алындыбы.

Активдүүлүк флажогун күйгүзүү — кызмат чыгара ала турган ар бир агымга сурам эмес. Күмөн маршруттоодо болсо, экөөнү тең күйгүзүңүз; күмөн 1-же 2-фаза сүйлөшүүсүндө болсо, аны активдүүлүк агымы көрсөтөт.

Эки агымдын эч бири пакетти кармоо эмес, бул айырма керектөөдөн көп билетти чечет. Активдүүлүк жана BGP жазуулары кызматтын туннел жана сессия менен эмне кылганын айтат, колдонмоңуз анын аркылуу эмне жибергенин эмес. Колдонмо тайм-аутун оңдоо үчүн туннел журналдарына кайрылуу — категория катасы, жана ал адатта бирөө байкаганга чейин бир үзүлүү терезесин талап кылат. Адегенде суроону тандаңыз, анан ага жооп бере алган агымды.

Үчүнчү шарт: консолдон өзгөртүү же туннел параметрлеринин API

Эгер адам бир жолку өзгөртүү жасаса, консол жолу ылайыктуу: VPC console, Site-to-Site VPN connections, туташууну тандаңыз, Actions, Modify VPN tunnel options, тышкы IPни тандаңыз, Tunnel activity logду күйгүзүңүз, топту жана чыгуу форматын тандап, терезенин ичинде сактаңыз. Эгер VPN код катары башкарылса, ошол эле басуу кийин жөнгө сала турган дрейф.

Автоматташтыруу үчүн туннел параметрлеринин активдүүлүк-журнал бөлүгүнүн туруктуу формасы бар: LogOptions блогунда CloudWatchLogOptions камтылат, анын ичинде LogEnabled, LogGroupArn жана LogOutputFormat бар. Бул блок — фрагмент, сурам эмес; modify-vpn-tunnel-options дагы эле туташуунун ID’син жана туннелдин тышкы IP’син талап кылат, ал эми калган туннел параметрлерин шаблондун ээси сакташы керек. BGP журналы ошол структурада өзүнүн BgpLogEnabled, BgpLogGroupArn жана BgpLogOutputFormat ачкычтарын колдонот. Чакыруу колдонулду деп ишенүүнүн ордуна өзгөртүүнү describe-vpn-connections аркылуу кайталап окуңуз.

Жазуулар эмнени айта алат жана эмнени айта албайт

Биринчи туннел бүтүп, көздөлгөн жол жеткиликтүү болгондон кийин, экинчи туннелдин журналдары да керек болсо, ошол эле көзөмөлдөнгөн ырааттуулукту кайталаңыз. Бир убакта бир туннел — бул бүт маселе.

Жазуулар туташуу жана туннелдин тышкы дареги менен аныкталган агымдарда келет, ошондуктан тарыхтын кийин пайда болушун күтүүнүн ордуна ошол идентификация менен байланыштырыңыз. Өзгөртүүгө чейин эч нерсе жок, жана канча күтсөңүз да ал кемтик толбойт. Эгер баштапкы сызык керек болсо, салыштыра турган нерсе болушу үчүн өзгөртүүгө чейин туннелдин учурдагы абалын жана маршруттоо таблицасын жазып алыңыз.

Журнал тобун, анын сакталышын, жеткирүү уруксаттарын жана туннел параметрлеринин блогун VPNдин өзү менен бир инвентарда кармаңыз, анткени алар төрт жерге таралган бир конфигурация. AWSтин журналдарды күйгүзүү процедурасы туннел боюнча жумуш агымын жана анын үзүлүү эскертүүсүн документтештирет, аны өзгөртүүдөн кийин эмес, мурун окуган жөн. Андан кийин кезеги менен текшериңиз: туннел кайтты, жазуулар күтүлгөн агымда пайда болду жана жазуулар билет ачкан сурооңузга жооп берет. Үчүнчүсү ийгиликсиз болсо, көйгөй агымды тандоодо болчу, журнал жазууда эмес.