Ажиллаж буй туннел дээр AWS VPN туннелийн логыг идэвхжүүлэх үү?

Site-to-Site VPN-ийн туннелийн үйл ажиллагааны логыг асаах нь өөрөө хэмжиж буй туннелийг унагаж болох жижиг өөрчлөлт юм. AWS нь одоо байгаа туннель дээр лог бичихийг идэвхжүүлэх нь түүнийг хэдэн минутын турш тасалдуулж болзошгүй гэж анхааруулдаг тул сонирхолтой асуулт нь тугийг хэрхэн эргүүлэх биш, харин аль туннель дээр, хэзээ эргүүлэх вэ гэдэг юм. Дарааллыг гурван нөхцөл тодорхойлно: нөгөө туннель маршрутуудыг үнэхээр зөөж байгаа эсэх, танд үйлчилгээний үйл явдлууд хэрэгтэй эсвэл BGP үйл явдлууд, өөрчлөлт нь консолоор эсвэл туннелийн параметрийн API-аар дамжих эсэх. Эдгээрийг буруу хийвэл тасалдал эсвэл юу ч байхгүй лог бүлэгтэй үлдэнэ.

Дарааллыг гурван нөхцөл тодорхойлно

Өөрчилж буй зүйлийнхээ таних тэмдгээс эхэл. Танд VPN холболтын ID, бүс, тодорхой туннелийн гадаад IP хаяг хэрэгтэй, учир нь энэ функцын логын тохиргоо бүр холболтод биш, туннельд хамаарна. Буруу гадаад хаягт хэрэглэсэн өөрчлөлт нь хэн ч засаагүй туннелийн өөрчлөлт юм.

Очих газар нь ижил бүс дэх CloudWatch лог бүлэг бөгөөд таны үнэхээр хүсч буй хадгалалт, хандалтын бодлоготой. AWS эдгээр бүлэгт /aws/vendedlogs/ угтварыг зөвлөдөг, учир нь энэ нь энгийн нэрс тулгарч болох нөөцийн бодлогын хэмжээний хязгаарлалтаас зайлсхийдэг. /aws/vendedlogs/vpn/branch-a-activity шиг нэр бол зөвхөн жишээ; чухал нь бүлэг байгаа эсэх, хүргэлтийн үүрэг түүн рүү бичиж чадах эсэх, хоёуланг нь VPN-ийн тохиргоог эзэмшигч удирдаж байгаа эсэх юм. Нэр зөвшөөрөл өгөхгүй, хүргэлтийн бодлогогүйгээр үүсгэсэн бүлэг алдаа биш чимээгүй байдал үүсгэдэг.

Эхний нөхцөл: урсгалыг үнэхээр зөөж буй нөөц туннель

Энэ бол багууд алгасаж орхидог нөхцөл юм. Хоёр тохируулсан туннель нь програмыг ашиглах боломжтой өөр замтай гэдгийн баталгаа биш.

Нэг туннельд хүрэхээс өмнө нөгөө нь чухал маршрутуудыг зөөж байгааг баталгаажуул: хэрэглэгчийн гарцын талын маршрутжуулалтын хүснэгтийг шалгаж, програм үнэхээр шилжиж чадахыг баталгаажуул. AWS-ийн тасалдлын цонх нь секунд биш минут байдаг бөгөөд зөвхөн цаасан дээр оршиж буй туннель оношилгооны өөрчлөлтийг тасалдал болгоно. Хэрэв нөөц зам нь батлагдаагүй бол логийг идэвхгүй гэж үзэхийн оронд өөрчлөлтийг бусад маршрутжуулалтын өөрчлөлттэй адил болгоомжтой төлөвлө. Ямар зан үйлийг тайлбарлах гэж байгаа туннелээ хэмжиж, хүрэхэд хялбар нэгийг нь биш.

Хоёр дахь нөхцөл: үйл ажиллагааны лог эсвэл BGP лог

Энэ нь та юу уншиж чадахаа шийднэ. Үйл ажиллагааны бичлэгүүд нь IKE болон IPsec төлөвийн шилжилт, DPD мессеж зэрэг үйлчилгээний үйл явдлуудыг хамардаг бөгөөд туннель өндийдөггүй эсвэл түлхүүрээ байнга шинэчилдэг үед энэ нь танд хэрэгтэй зүйл юм. BGP бичлэгүүд нь өөрийн хяналт бүхий тусдаа урсгал бөгөөд өөр асуултад хариулдаг: маршрутууд хүлээгдэж байсанчлан солигдож, буцаан татагдсан эсэх.

Үйл ажиллагааны тугийг идэвхжүүлэх нь үйлчилгээний гаргаж болох бүх урсгалын хүсэлт биш. Хэрэв сэжиг маршрутжуулалтад байвал хоёуланг нь идэвхжүүл; хэрэв сэжиг 1 эсвэл 2-р фазын хэлэлцээрт байвал үйл ажиллагааны урсгал түүнийг харуулна.

Хоёр урсгалын аль нь ч пакет барих биш бөгөөд энэ ялгаа нь шаардлагатайгаас илүү тикет шийддэг. Үйл ажиллагаа болон BGP бичлэгүүд нь үйлчилгээ туннель болон сессэд юу хийснийг хэлдэг, таны програм түүгээр юу илгээснийг биш. Програмын тайм-аутыг дибаг хийхээр туннелийн лог руу тэмүүлэх нь ангиллын алдаа бөгөөд ихэвчлэн хэн нэгэн анзаарахаас өмнө нэг тасалдлын цонхыг үнэтэй болгодог. Эхлээд асуултаа сонго, дараа нь түүнд хариулж чадах урсгалыг.

Гурав дахь нөхцөл: консолоор өөрчлөх эсвэл туннелийн параметрийн API

Хэрэв хүн нэг удаагийн өөрчлөлт хийж байгаа бол консолын зам тохиромжтой: VPC console, Site-to-Site VPN connections, холболтыг сонго, Actions, Modify VPN tunnel options, гадаад IP-г сонго, Tunnel activity log-г идэвхжүүл, бүлэг болон гаралтын форматыг сонго, цонхны дотор хадгал. Хэрэв VPN-ийг кодоор удирддаг бол тэр ижил товшилт нь дараа нь зохицуулах зөрүү юм.

Автоматжуулалтын хувьд туннелийн параметрийн үйл ажиллагааны лог хэсэг нь тогтмол хэлбэртэй: LogOptions нь CloudWatchLogOptions-г агуулна, үүнд LogEnabled, LogGroupArn болон LogOutputFormat байна. Тэр блок нь хэсэг бөгөөд хүсэлт биш; modify-vpn-tunnel-options-д холболтын ID болон туннелийн гадаад IP одоо ч хэрэгтэй, үлдсэн туннелийн тохиргоог загварын эзэн хадгалах ёстой. BGP лог нь ижил бүтцэд өөрийн BgpLogEnabled, BgpLogGroupArn болон BgpLogOutputFormat түлхүүрүүдийг ашигладаг. Дуудлага хэрэгжинэ гэж итгэхийн оронд өөрчлөлтийг describe-vpn-connections-ээр буцааж уншина уу.

Бичлэгүүд танд юу хэлж чадах, юу чадахгүй вэ

Эхний туннель дуусч, зорьсон зам боломжтой болсны дараа хоёр дахь туннелийн лог ч хэрэгтэй бол мөн адил хяналттай дарааллыг давтана. Нэг удаад нэг туннель гэдэг нь бүх асуудлын гол нь.

Бичлэгүүд нь холболт болон туннелийн гадаад хаягаар тодорхойлогддог урсгалуудад ирдэг тул түүх хойш үүснэ гэж хүлээхийн оронд тэр таних тэмдэгтэй хамааруул. Өөрчлөлтөөс өмнө юу ч байхгүй бөгөөд хэр их хүлээсэн ч тэр цоорхой дүүрэхгүй. Хэрэв танд суурь шугам хэрэгтэй бол харьцуулах зүйл байхын тулд өөрчлөлтөөс өмнө туннелийн одоогийн төлөв болон маршрутжуулалтын хүснэгтийг тэмдэглэ.

Лог бүлэг, түүний хадгалалт, хүргэлтийн зөвшөөрөл, туннелийн параметрийн блокыг VPN-ийн өөртэй нь нэг инвентарт байлга, учир нь эдгээр нь дөрвөн газарт тархсан нэг тохиргоо юм. AWS-ийн логийг идэвхжүүлэх журам нь туннель тус бүрийн ажлын урсгал болон тасалдлын анхааруулгыг баримтжуулдаг бөгөөд өөрчлөлтийн дараа биш, өмнө нь унших нь зүйтэй. Дараа нь дарааллаар шалга: туннель буцаж ирсэн, бичлэгүүд хүлээгдэж буй урсгалд гарч байна, бичлэгүүд таны тикет нээсэн асуултад хариулж байна. Гурав дахь нь бүтэлгүйтвэл асуудал нь логид биш, урсгалын сонголтод байсан.