Cloud VPN būsena: pirmiausia perskaitykite ištekliaus būseną, tada IKE žurnalą

Cloud VPN tunelis vienu metu vykdo du gyvavimo ciklus, ir jie nėra tame pačiame laikrodyje. Išteklius turi būti priskirtas ir sukonfigūruotas, kad galėtų derėtis, o po to protokolas turi savo IKE pranešimų seką. Būsenos laukas gali pranešti apie pirmąjį, nieko naudingo nesakydamas apie antrąjį. Jų skaitymas kaip vieno dalyko yra būdas, kuriuo raktų neatitikimas apkaltinamas dėl diegimo vėlavimo.

Pradėkite nuo vieno tunelio objekto ir vieno laiko intervalo.

Du gyvavimo ciklai, vienas tunelio objektas

Ištekliaus gyvavimo ciklas yra tiekėjo tunelio paruošimas: adresai, konfigūracija, talpa. Protokolo gyvavimo ciklas prasideda, kai abi pusės turi pakankamai konfigūracijos pasikeisti IKE_SA_INIT, tada IKE_AUTH, tada pavaldžiomis saugos asociacijomis. Tunelis, vis dar esantis pirmoje fazėje, nepatyrė autentifikavimo klaidos, nes autentifikavimas dar nebuvo bandytas.

Šis skirtumas ir yra visa problema. Visa kita – kaip tai stebėti nesujungiant nesusijusių pranešimų.

Skaitykite objektą, o ne konsolės santrauką

Paprašykite API tik tų dviejų laukų, kurie svarbūs, ir nieko daugiau, kad atsakymas liktų pakankamai mažas perskaityti trečią valandą nakties: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status laukas įvardija gyvavimo ciklo etapą, o detailedStatus neša su juo susietą perskaitomą priežastį. Visas konfigūracijos išrašas atsako į kitus klausimus ir jį sunkiau įklijuoti į bilietą. Tokie tik skaitymo kvietimai negali pakeisti tunelio, o tai svarbu, kol incidentas dar aktyvus.

Užrašykite kvietimo laiko žymą šalia reikšmių, nes abu laukai juda.

ALLOCATING_RESOURCES nėra raktų neatitikimas

Kai tunelis praneša ALLOCATING_RESOURCES, tiekėjas dar renka objektą. Iš anksto bendrinamo rakto neatitikimo tame etape stebėti negalima, o užblokuotas partnerio prievadas taip pat neįrodytas. Patikrinti galite išsamų pranešimą, ar projektas ir paslauga atrodo sveiki, ir ar tunelio konfigūracija pakankamai išsami, kad su partneriu apskritai būtų galima susisiekti. Slaptažodžio pakeitimas dabar keičia vertę, kuri niekada nebuvo išbandyta.

Palaukite, kol būsena pasikeis, prieš darydami išvadą apie konfigūraciją.

ESTABLISHED yra prieigos patikrų pradžia

Sukurtas tunelis reiškia, kad IKE baigtas, o ne kad srautas teka. Patvirtinkite maršrutus, kuriuos neša tunelis, ir, kur dalyvauja Cloud Router, patvirtinkite BGP sesiją ir priešdėlius, kurių ji išmoko. Tada išbandykite leidžiamą programos mainus, nes ugniasienės taisyklė ar trūkstamas maršrutas gali užblokuoti srautą per visiškai sveiką tunelį. Kiekvienas iš jų yra atskiras stebėjimas su atskiru pataisymu.

Būsena pasako, kokį klausimą užduoti toliau. Ji niekada neatsako į prieigos klausimą už jus.

Susiekite vieną objektą ir vieną laiko intervalą

Senas autentifikavimo gedimas žurnale priklauso ankstesniam bandymui, nebent jo laiko žyma patenka į tiriamą intervalą. Ištraukite tunelio ištekliaus žurnalus toms pačioms minutėms kaip užrašyta būsena ir laikykite identifikatorius kartu. Vėlesnis IKE įvykis gali parodyti, kad derybos prasidėjo, o konsolės pranešimas, į kurį žiūrite, jau pasenęs.

Jei tunelis atsistato prieš ką nors surinkdami, pasakykite tai. Neapibrėžta priežastis yra geresnis įrašas nei pasitikėjimo kupina istorija, surinkta iš nesusijusių eilučių.

Kitas žingsnis visada turi tą pačią formą: vienas objektas, vienas intervalas, vienas etapas. Viskas platesnio yra santrauka, o ne diagnozė.