Cloud VPN-status: les ressursens tilstand før IKE-loggen

En Cloud VPN-tunnel kjører to livssykluser samtidig, og de går ikke på samme klokke. Ressursen må tildeles og konfigureres før den kan forhandle, og deretter har protokollen sin egen rekkefølge av IKE-meldinger. Et statusfelt kan rapportere det første uten å si noe nyttig om det andre. Å lese dem som én ting er måten en nøkkelavvikelse får skylden for en forsinkelse i klargjøringen.

Begynn med ett tunnelobjekt og ett tidsvindu.

To livssykluser, ett tunnelobjekt

Livssyklusen til ressursen er leverandørens klargjøring av tunnelen: adresser, konfigurasjon, kapasitet. Protokollens livssyklus starter når begge parter har nok konfigurasjon til å utveksle IKE_SA_INIT, deretter IKE_AUTH, deretter underordnede sikkerhetsassosiasjoner. En tunnel som fortsatt er i første fase har ikke feilet i autentiseringen, fordi autentiseringen ennå ikke er forsøkt.

Den forskjellen er hele problemet. Alt annet handler om hvordan man observerer den uten å slå sammen urelaterte meldinger.

Les objektet, ikke konsollsammendraget

Spør API-et om de to feltene som betyr noe og ingenting annet, slik at svaret blir lite nok til å lese klokken tre om natten: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Feltet status navngir livssyklusfasen, og detailedStatus bærer den lesbare årsaken som er knyttet til den. En full konfigurasjonsdump svarer på andre spørsmål og er vanskeligere å lime inn i en sak. Slike skrivebeskyttede kall kan ikke endre tunnelen, noe som betyr noe mens hendelsen fortsatt er aktiv.

Noter tidsstempelet for kallet ved siden av verdiene, fordi begge feltene beveger seg.

ALLOCATING_RESOURCES er ikke en nøkkelavvikelse

Når tunnelen rapporterer ALLOCATING_RESOURCES, holder leverandøren fortsatt på å sette sammen objektet. En avvikelse i den forhåndsdelte nøkkelen kan ikke observeres i den fasen, og en blokkert peer-port er like ubevist. Det du kan sjekke, er den detaljerte meldingen, om prosjektet og tjenesten ser sunne ut, og om tunnelkonfigurasjonen er fullstendig nok til at peer-en i det hele tatt kan kontaktes. Å bytte hemmeligheten nå endrer en verdi som aldri ble testet.

Vent til tilstanden beveger seg før du trekker en konklusjon om konfigurasjonen.

ESTABLISHED er starten på tilgangskontrollene

En etablert tunnel betyr at IKE ble fullført, ikke at trafikken flyter. Bekreft rutene tunnelen bærer, og bekreft, der en Cloud Router er involvert, BGP-økten og prefiksene den lærte. Test deretter en tillatt programutveksling, fordi en brannmurregel eller en manglende rute kan blokkere trafikk gjennom en tunnel som er helt sunn. Hver av disse er en egen observasjon med en egen rettelse.

Status forteller deg hvilket spørsmål du skal stille neste gang. Den svarer aldri på tilgangsspørsmålet for deg.

Korreler ett objekt og ett tidsvindu

En gammel autentiseringsfeil i loggen tilhører et tidligere forsøk, med mindre tidsstempelet faller innenfor vinduet du undersøker. Hent loggene for tunnelressursen for de samme minuttene som statusen du noterte, og hold identifikatorene sammen. En senere IKE-hendelse kan vise at forhandlingen har begynt, mens konsollmeldingen du stirrer på allerede er utdatert.

Hvis tunnelen kommer seg før du samler inn noe, si det. En ubestemt årsak er en bedre registrering enn en selvsikker historie satt sammen av urelaterte linjer.

Det neste trinnet har alltid samme form: ett objekt, ett vindu, én fase. Alt bredere er et sammendrag, ikke en diagnose.