Cloud VPN statuss: vispirms izlasiet resursa stāvokli, tad IKE žurnālu

Cloud VPN tunelis vienlaikus uztur divus dzīves ciklus, un tie nav uz viena pulksteņa. Resursam jābūt piešķirtam un konfigurētam, pirms tas var sarunāties, un pēc tam protokolam ir sava IKE ziņojumu secība. Statusa lauks var ziņot par pirmo, nepasakot neko noderīgu par otro. To lasīšana kā vienas lietas ir veids, kā atslēgas neatbilstība tiek vainota piegādes aizkavēšanā.

Sāciet ar vienu tuneļa objektu un vienu laika logu.

Divi dzīves cikli, viens tuneļa objekts

Resursa dzīves cikls ir pakalpojumu sniedzēja tuneļa sagatavošana: adreses, konfigurācija, kapacitāte. Protokola dzīves cikls sākas, kad abām pusēm ir pietiekami daudz konfigurācijas, lai apmainītos ar IKE_SA_INIT, pēc tam IKE_AUTH, pēc tam bērna drošības asociācijām. Tunelis, kas joprojām ir pirmajā fāzē, nav neizturējis autentifikāciju, jo autentifikācija vēl nav mēģināta.

Šī atšķirība ir visa problēma. Viss pārējais ir par to, kā to novērot, nesaplūdinot nesaistītus ziņojumus.

Lasiet objektu, nevis konsoles kopsavilkumu

Pajautājiet API tikai tos divus laukus, kuriem ir nozīme, un neko citu, lai atbilde paliktu pietiekami maza, lai to izlasītu trijos naktī: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status lauks nosauc dzīves cikla posmu, un detailedStatus nes līdzi lasāmo iemeslu, kas tam piesaistīts. Pilns konfigurācijas izgājums atbild uz citiem jautājumiem, un to ir grūtāk ielīmēt biļetē. Šādi tikai lasīšanas izsaukumi nevar mainīt tuneli, kas ir svarīgi, kamēr incidents vēl ir aktīvs.

Pierakstiet izsaukuma laika zīmi blakus vērtībām, jo abi lauki kustas.

ALLOCATING_RESOURCES nav atslēgas neatbilstība

Kad tunelis ziņo ALLOCATING_RESOURCES, pakalpojumu sniedzējs vēl komplektē objektu. Iepriekš kopīgotas atslēgas neatbilstību šajā posmā novērot nevar, un bloķēta pīra ports ir tikpat nepierādīts. Pārbaudīt varat detalizēto ziņojumu, vai projekts un pakalpojums izskatās veseli, un vai tuneļa konfigurācija ir pietiekami pilnīga, lai ar pīru vispār varētu sazināties. Noslēpuma nomaiņa tagad maina vērtību, kas nekad nav pārbaudīta.

Pagaidiet, līdz stāvoklis mainīsies, pirms izdarāt secinājumu par konfigurāciju.

ESTABLISHED ir piekļuves pārbaužu sākums

Izveidots tunelis nozīmē, ka IKE ir pabeigts, nevis ka trafiks plūst. Apstipriniet maršrutus, ko tunelis pārvadā, un, kur iesaistīts Cloud Router, apstipriniet BGP sesiju un prefiksus, ko tā apguva. Pēc tam pārbaudiet atļautu lietojumprogrammas apmaiņu, jo ugunsmūra noteikums vai trūkstošs maršruts var bloķēt trafiku caur pilnīgi veselu tuneli. Katrs no tiem ir atsevišķs novērojums ar atsevišķu labojumu.

Statuss pasaka, kādu jautājumu uzdot tālāk. Tas nekad neatbild uz piekļuves jautājumu jūsu vietā.

Sasaistiet vienu objektu un vienu laika logu

Vecs autentifikācijas trūkums žurnālā pieder agrākam mēģinājumam, ja vien tā laika zīme neietilpst logā, kuru izmeklējat. Izvelciet tuneļa resursa žurnālus par tām pašām minūtēm kā fiksētais statuss, un turiet identifikatorus kopā. Vēlāks IKE notikums var parādīt, ka sarunas ir sākušās, kamēr konsoles ziņojums, kurā skatāties, jau ir novecojis.

Ja tunelis atjaunojas, pirms ko esat savācis, tā arī sakiet. Nenoteikts cēlonis ir labāks ieraksts nekā pašpārliecināts stāsts, kas salikts no nesaistītām rindām.

Nākamajam solim vienmēr ir tā pati forma: viens objekts, viens logs, viens posms. Viss plašākais ir kopsavilkums, nevis diagnoze.