Vai jums vajadzētu iespējot AWS VPN tuneļa žurnālus aktīvā tunelī?

Tuneļa darbības žurnālu ieslēgšana Site-to-Site VPN ir neliela izmaiņa, kas var nogāzt tuneli, kuru tā mēra. AWS brīdina, ka žurnālošanas iespējošana esošā tunelī var to uz dažām minūtēm pārtraukt, tāpēc interesantais jautājums nav kā pārslēgt karodziņu, bet kurā tunelī un kad. Kārtību nosaka trīs nosacījumi: vai otrs tunelis tiešām pārvadā maršrutus, vai jums vajag pakalpojuma notikumus vai BGP notikumus, un vai izmaiņa notiek caur konsoli vai caur tuneļa opciju API. Ja to sajaucat, jums paliks vai nu pārtraukums, vai žurnālu grupa, pilna ar neko.

Kārtību nosaka trīs nosacījumi

Sāciet ar tā, ko maināt, identitāti. Jums vajag VPN savienojuma ID, reģionu un konkrētā tuneļa ārējo IP adresi, jo katrs žurnāla iestatījums šajā funkcijā ir uz tuneli, nevis uz savienojumu. Izmaiņa, kas piemērota nepareizai ārējai adresei, ir izmaiņa tunelī, kuru neviens nedebuggoja.

Galamērķis ir CloudWatch žurnālu grupa tajā pašā reģionā ar saglabāšanas un piekļuves politiku, kuru jūs patiešām vēlaties. AWS iesaka šīm grupām prefiksu /aws/vendedlogs/, jo tas izvairās no resursu politikas izmēra ierobežojumiem, ar kuriem var saskarties parasti nosaukumi. Nosaukums kā /aws/vendedlogs/vpn/branch-a-activity ir tikai ilustratīvs; svarīgi ir tas, ka grupa pastāv, ka piegādes loma var tajā rakstīt un ka abus pārvalda tas, kam pieder VPN konfigurācija. Nosaukums nepiešķir atļaujas, un grupa, kas izveidota bez piegādes politikas, rada klusumu, nevis kļūdu.

Pirmais nosacījums: rezerves tunelis, kas tiešām pārvadā trafiku

Šis ir nosacījums, ko komandas izlaiž. Divi konfigurēti tuneļi nav pierādījums, ka lietotnei ir izmantojams alternatīvs ceļš.

Pirms pieskaraties vienam tunelim, pārliecinieties, ka otrs pārvadā svarīgos maršrutus: pārbaudiet maršrutēšanas tabulu klienta vārtejas pusē un apstipriniet, ka lietotne tiešām var pārslēgties. AWS pārtraukuma logs ir minūtēs, nevis sekundēs, un tunelis, kas pastāv tikai uz papīra, diagnostikas izmaiņu pārvērš pārtraukumā. Ja rezerves ceļš nav pierādīts, plānojiet izmaiņu ar tādu pašu rūpību kā jebkuru citu maršrutēšanas izmaiņu, nevis uzskatiet žurnālošanu par pasīvu. Instrumentējiet to tuneli, kura uzvedību mēģināt izskaidrot, nevis to, kuram ir vieglāk piekļūt.

Otrais nosacījums: darbības žurnāls vai BGP žurnāls

Šis izlemj, ko jūs faktiski varēsiet izlasīt. Darbības ieraksti aptver pakalpojuma notikumus, piemēram, IKE un IPsec stāvokļa pārejas un DPD ziņojumus, kas jums vajadzīgs, kad tunelis neceļas vai pastāvīgi atjauno atslēgas. BGP ieraksti ir atsevišķa plūsma ar saviem vadības līdzekļiem, un tie atbild uz citu jautājumu: vai maršruti tika apmainīti un atsaukti, kā gaidīts.

Darbības karodziņa iespējošana nav pieprasījums katrai plūsmai, ko pakalpojums var izdot. Ja aizdomas ir par maršrutēšanu, iespējojiet abus; ja aizdomas ir par 1. vai 2. fāzes sarunām, darbības plūsma to parādīs.

Neviena plūsma nav pakešu uztveršana, un šī atšķirība atrisina vairāk biļešu, nekā vajadzētu. Darbības un BGP ieraksti stāsta, ko pakalpojums izdarīja ar tuneli un sesiju, nevis ko jūsu lietotne caur to nosūtīja. Vēršanās pie tuneļa žurnāliem, lai atkļūdotu lietotnes taimautu, ir kategorijas kļūda, un tā parasti maksā pārtraukuma logu, pirms kāds to ievēro. Vispirms izvēlieties jautājumu, tad plūsmu, kas uz to var atbildēt.

Trešais nosacījums: izmaiņa konsolē vai tuneļa opciju API

Ja cilvēks veic vienreizēju izmaiņu, konsoles ceļš ir piemērots: VPC console, Site-to-Site VPN connections, izvēlieties savienojumu, Actions, Modify VPN tunnel options, izvēlieties ārējo IP, iespējojiet Tunnel activity log, izvēlieties grupu un izvades formātu, saglabājiet logā. Ja VPN tiek pārvaldīts kā kods, tas pats klikšķis ir novirze, kuru vēlāk saskaņosiet.

Automatizācijai tuneļa opciju darbības žurnāla daļai ir fiksēta forma: LogOptions satur CloudWatchLogOptions ar LogEnabled, LogGroupArn un LogOutputFormat. Šis bloks ir fragments, nevis pieprasījums; modify-vpn-tunnel-options joprojām vajag savienojuma ID un tuneļa ārējo IP, un pārējos tuneļa iestatījumus jāsaglabā šablona īpašniekam. BGP žurnālošana izmanto savas atslēgas BgpLogEnabled, BgpLogGroupArn un BgpLogOutputFormat tajā pašā struktūrā. Nolasiet izmaiņu atpakaļ ar describe-vpn-connections, nevis paļaujieties, ka izsaukums tika piemērots.

Ko ieraksti var un ko nevar pateikt

Kad pirmais tunelis ir pabeigts un paredzētais ceļš ir pieejams, atkārtojiet to pašu kontrolēto secību otrajam tunelim, ja tā žurnāli arī jums vajadzīgi. Viens tunelis vienlaikus ir visa būtība.

Ieraksti nāk plūsmās, ko identificē savienojums un tuneļa ārējā adrese, tāpēc korelējiet ar šo identitāti, nevis gaidiet, ka vēsture parādīsies retrospektīvi. Nekas pirms izmaiņas nepastāv, un nekāda gaidīšana neaizpilda robu. Ja jums vajag bāzes līniju, pirms izmaiņas fiksējiet pašreizējo tuneļa stāvokli un maršrutēšanas tabulu, lai būtu ar ko salīdzināt.

Turiet žurnālu grupu, tās saglabāšanu, piegādes atļaujas un tuneļa opciju bloku tajā pašā inventārā kā pašu VPN, jo tā ir viena konfigurācija, izkliedēta četrās vietās. AWS žurnālu iespējošanas procedūra dokumentē darbplūsmu katram tunelim un tās brīdinājumu par pārtraukumu, un to ir vērts izlasīt pirms izmaiņas, nevis pēc. Tad pārbaudiet secībā: tunelis atgriezās, ieraksti parādās gaidītajā plūsmā un ieraksti atbild uz jautājumu, kura dēļ atvērāt biļeti. Ja trešais neizdodas, problēma bija plūsmas izvēle, nevis žurnālošana.