Cloud VPN-status: les tilstanden til ressursen før IKE-loggen

Ein Cloud VPN-tunnel køyrer to livssyklusar samstundes, og dei går ikkje på same klokka. Ressursen må tildelast og konfigurerast før han kan forhandle, og deretter har protokollen sin eigen rekkjefølgje av IKE-meldingar. Eit statusfelt kan rapportere den første utan å seie noko nyttig om den andre. Å lese dei som éin ting er måten ein nøkkelavvik får skulda for ei forseinking i klargjeringa.

Byrj med eitt tunnelobjekt og eitt tidsvindauge.

To livssyklusar, eitt tunnelobjekt

Livssyklusen til ressursen er leverandøren si klargjering av tunnelen: adresser, konfigurasjon, kapasitet. Livssyklusen til protokollen startar når begge partar har nok konfigurasjon til å utveksle IKE_SA_INIT, deretter IKE_AUTH, deretter underordna tryggleiksassosiasjonar. Ein tunnel som framleis er i første fase har ikkje feila i autentiseringa, fordi autentiseringa enno ikkje er prøvd.

Den skilnaden er heile problemet. Alt anna handlar om korleis ein observerer han utan å slå saman urelaterte meldingar.

Les objektet, ikkje konsollsamanfatninga

Spør API-et om dei to felta som betyr noko og inkje anna, slik at svaret blir lite nok til å lese klokka tre om natta: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Feltet status namngir livssyklusfasen, og detailedStatus ber den lesbare årsaka som er knytt til han. Ein full konfigurasjonsdump svarar på andre spørsmål og er vanskelegare å lime inn i ei sak. Slike skriveverna kall kan ikkje endre tunnelen, noko som betyr noko medan hendinga framleis er aktiv.

Noter tidsstempelet for kallet ved sida av verdiane, fordi begge felta flyttar seg.

ALLOCATING_RESOURCES er ikkje eit nøkkelavvik

Når tunnelen rapporterer ALLOCATING_RESOURCES, held leverandøren framleis på å setje saman objektet. Eit avvik i den førehandsdelte nøkkelen kan ikkje observerast i den fasen, og ein blokkert peer-port er like ubevist. Det du kan sjekke, er den detaljerte meldinga, om prosjektet og tenesta ser sunne ut, og om tunnelkonfigurasjonen er fullstendig nok til at peer-en i det heile kan kontaktast. Å byte hemmelegheita no endrar ein verdi som aldri vart testa.

Vent til tilstanden flyttar seg før du dreg ein konklusjon om konfigurasjonen.

ESTABLISHED er starten på tilgangskontrollane

Ein etablert tunnel betyr at IKE vart fullført, ikkje at trafikken flyt. Stadfest rutene tunnelen ber, og stadfest, der ein Cloud Router er involvert, BGP-økta og prefiksa ho lærte. Test deretter ein tillaten programutveksling, fordi ein brannmurregel eller ei manglande rute kan blokkere trafikk gjennom ein tunnel som er heilt sunn. Kvar av desse er ein eigen observasjon med ei eiga retting.

Status fortel deg kva spørsmål du skal stille neste gong. Han svarar aldri på tilgangsspørsmålet for deg.

Korreler eitt objekt og eitt tidsvindauge

Ein gammal autentiseringsfeil i loggen høyrer til eit tidlegare forsøk, med mindre tidsstempelet fell innanfor vindauget du granskar. Hent loggane for tunnelressursen for dei same minutta som statusen du noterte, og hald identifikatorane saman. Ei seinare IKE-hending kan vise at forhandlinga har byrja, medan konsollmeldinga du stirer på allereie er utdatert.

Om tunnelen kjem seg før du samlar inn noko, seie det. Ei uavgjord årsak er ei betre registrering enn ei sjølvsikker historie sett saman av urelaterte linjer.

Det neste steget har alltid same form: eitt objekt, eitt vindauge, éin fase. Alt breiare er eit samandrag, ikkje ein diagnose.