Sollt Dir AWS VPN-Tunnel-Logs op engem liewegen Tunnel aschalten?

D'Tunnelaktivitéitslogs fir eng Site-to-Site VPN anzeschalten ass eng kleng Ännerung, déi den Tunnel, deen se moosst, ka falen. AWS warnt, datt d'Aschalte vum Logging op engem existéierenden Tunnel en e puer Minutten ënnerbrieche kann, also ass déi interessant Fro net wéi een de Fändel ëmdréit, mä op wéi engem Tunnel an wéini. Dräi Konditioune bestëmmen d'Reiefolleg: ob den aneren Tunnel d'Routen wierklech dréit, ob Dir Déngschtleeschtungsevenementer oder BGP-Evenementer braucht, an ob d'Ännerung iwwer d'Konsole oder iwwer d'Tunneloptiouns-API geet. Maacht Dir dat falsch, sidd Dir entweder mat enger Ënnerbriechung oder mat enger Loggrupp voller näischt fäerdeg.

Dräi Konditioune bestëmmen d'Reiefolleg

Fänkt mat der Identitéit vun deem un, wat Dir ännert. Dir braucht d'VPN-Verbindungs-ID, d'Regioun an d'baussecht IP-Adress vum spezifeschen Tunnel, well all Logastellung an dëser Funktioun pro Tunnel an net pro Verbindung ass. Eng Ännerung, déi op déi falsch baussecht Adress ugewannt gëtt, ass eng Ännerung un engem Tunnel, deen keen debuggt huet.

D'Zil ass eng CloudWatch-Loggrupp an derselwechter Regioun, mat der Späicherung an der Zougangspolitik, déi Dir wierklech wëllt. AWS empfielt de Prefix /aws/vendedlogs/ fir dës Gruppen, well en d'Gréisstegrenze vun der Ressourcepolitik vermeit, op déi gewéinlech Nimm stoussen. En Numm wéi /aws/vendedlogs/vpn/branch-a-activity ass just illustrativ; wat zielt ass, datt d'Grupp existéiert, datt d'Liwwerroll dran schreiwe kann an datt béides vun deem verwalt gëtt, deen d'VPN-Konfiguratioun huet. Den Numm gëtt keng Erlaabnesser, an eng Grupp, déi ouni d'Liwwerpolitik erstallt gëtt, produzéiert Stëllscht an net e Feeler.

Éischte Konditioun: en redundanten Tunnel, deen wierklech Traffic dréit

Dëst ass d'Konditioun, déi d'Teamme spréngen. Zwee konfiguréiert Tunnelen sinn keen Beweis, datt d'Applikatioun en notzbaren alternativen Wee huet.

Ier Dir en Tunnel beréiert, bestätegt, datt deen aneren déi wichteg Route dréit: kontrolléiert d'Routingtabell op der Säit vum Client-Gateway a bestätegt, datt d'Applikatioun wierklech kann ëmschalten. D'AWS-Ënnerbriechungsfenster ass a Minutten, net a Sekonnen, an en Tunnel, deen nëmmen um Pabeier existéiert, mécht aus enger diagnostescher Ännerung eng Ënnerbriechung. Wann de redundante Wee net bewisen ass, plangt d'Ännerung mat der selwechter Suergfalt wéi all aner Routingännerung, amplaz d'Logging als passiv ze behandelen. Instrumentéiert den Tunnel, deem säi Verhalen Dir probéiert z'erklären, net deen, deen am einfachsten z'erreechen ass.

Zweet Konditioun: Aktivitéitslog oder BGP-Log

Dës entscheet, wat Dir wierklech kënnt liesen. Aktivitéitsopzeechnunge decke Déngschtleeschtungsevenementer wéi IKE- an IPsec-Zoustandsiwwergäng an DPD-Noriichten of, wat Dir wëllt, wann den Tunnel net eropkënnt oder stänneg Schlësselen erneiert. BGP-Opzeechnunge sinn en eegene Stroum mat sengen eegene Kontrollen, an si beäntweren eng aner Fro: ob d'Route wéi erwaart ausgetosch an zréckgezunn goufen.

Den Aktivitéitsfändel aschalten ass keng Ufro fir all Stroum, deen den Déngscht kann aussenden. Wann den Verdacht d'Routing ass, schalt béides an; wann den Verdacht d'Verhandlung vun der Phas 1 oder Phas 2 ass, ass den Aktivitéitsstroum deen, deen et weist.

Keen vun deenen zwee Stroum ass eng Paketoflang, an deen Ënnerscheed entscheet méi Ticketen wéi et sollt. Aktivitéits- a BGP-Opzeechnunge soen Iech, wat den Déngscht mam Tunnel an der Sessioun gemaach huet, net wat Är Applikatioun duerch en geschéckt huet. Op Tunnellogs ze gräifen, fir en Applikatiouns-Timeout ze debuggen, ass e Kategorie-Fehler, an et kascht meeschtens eng Ënnerbriechungsfenster, ier een et mierkt. Wielt fir d'éischt d'Fro, duerno de Stroum, deen se ka beäntweren.

Drëtt Konditioun: Ännerung iwwer d'Konsole oder d'Tunneloptiouns-API

Wann e Mënsch eng eenzeg Ännerung mécht, ass de Konsolwee gutt: VPC console, Site-to-Site VPN connections, wielt d'Verbindung, Actions, Modify VPN tunnel options, wielt d'baussecht IP, schalt den Tunnel activity log an, wielt d'Grupp an d'Ausgabsformat, späichert bannescht der Fenster. Wann d'VPN als Code geréiert gëtt, ass dee selwechte Klick en Drift, deen Dir méi spéit versöhnt.

Fir d'Automatiséierung huet den Aktivitéitslogdeel vun den Tunneloptiounen eng fest Form: LogOptions enthält CloudWatchLogOptions mat LogEnabled, LogGroupArn an LogOutputFormat. Dee Block ass e Fragment, keng Ufro; modify-vpn-tunnel-options brauch nach d'Verbindungs-ID an d'baussecht IP vum Tunnel, an déi reschtlech Tunnelastellungen muss dee bewahren, deem den Template gehéiert. D'BGP-Logging benotzt seng eege Schlësselen BgpLogEnabled, BgpLogGroupArn an BgpLogOutputFormat an der selwechter Struktur. Liest d'Ännerung mam describe-vpn-connections zréck, amplaz ze vertrauen, datt den Opruff ugewannt gouf.

Wat d'Opzeechnunge kënnen a wat net soen

Wann den éischten Tunnel fäerdeg ass an de geplangte Wee disponibel ass, widderhëlt déi selwecht kontrolléiert Sequenz fir den zweeten Tunnel, wann Dir seng Loggen och braucht. Een Tunnel gläichzäiteg ass de ganze Punkt.

Opzeechnunge kommen a Stroum, déi duerch d'Verbindung an d'baussecht Adress vum Tunnel identifizéiert ginn, also korreléiert mat där Identitéit, amplaz ze erwarten, datt Geschicht retroaktiv erschéngt. Näischt virun der Ännerung existéiert, a keng Waardezäit fëllt d'Lück. Wann Dir eng Basislinn braucht, hält den aktuellen Tunnelzoustand an d'Routingtabell virun der Ännerung fest, sou datt et eppes ze vergläichen gëtt.

Hält d'Loggrupp, hir Späicherung, hir Liwwerberechtegungen an den Tunneloptiounsblock am selwechten Inventar wéi d'VPN selwer, well si sinn eng eenzeg Konfiguratioun iwwer véier Plaze verdeelt. D'AWS-Prozedur fir Logs anzeschalten dokumentéiert den Aarbechtsflux pro Tunnel a seng Ënnerbriechungswarnung, an et lount sech, se virun der Ännerung ze liesen an net duerno. Da verifizéiert der Reiefolleg no: den Tunnel ass zréck, Opzeechnunge erschéngen am erwaarte Stroum, an d'Opzeechnunge beäntweren d'Fro, fir déi Dir den Ticket opgemaach hutt. Wann dat Drëttet feelt, war de Problem d'Wiel vum Stroum an net d'Logging.