Status Cloud VPN-a: pročitajte stanje resursa prije IKE zapisa

Cloud VPN tunel vodi dva životna ciklusa istodobno i oni nisu na istom satu. Resurs mora biti dodijeljen i konfiguriran prije nego što može pregovarati, a protokol nakon toga ima svoj slijed IKE poruka. Polje statusa može prijaviti prvo, a da ne kaže ništa korisno o drugome. Čitanje toga kao jedne stvari je način na koji se neusklađenost ključa okrivi za kašnjenje u pripremi.

Počnite s jednim objektom tunela i jednim vremenskim prozorom.

Dva životna ciklusa, jedan objekt tunela

Životni ciklus resursa je priprema tunela od strane pružatelja: adrese, konfiguracija, kapacitet. Životni ciklus protokola počinje kada obje strane imaju dovoljno konfiguracije za razmjenu IKE_SA_INIT, zatim IKE_AUTH, zatim podređenih sigurnosnih asocijacija. Tunel koji je još u prvoj fazi nije pao na autentikaciji, jer autentikacija još nije pokušana.

Ta razlika je cijeli problem. Sve ostalo je kako je promatrati bez spajanja nepovezanih poruka.

Čitajte objekt, a ne sažetak u konzoli

Pitajte API za dva polja koja su važna i ništa drugo, da odgovor ostane dovoljno malen da se pročita u tri sata ujutro: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Polje status imenuje fazu životnog ciklusa, a detailedStatus nosi čitljiv razlog koji je uz nju vezan. Potpuni ispis konfiguracije odgovara na druga pitanja i teže ga je zalijepiti u tiket. Ovakvi pozivi samo za čitanje ne mogu promijeniti tunel, što je važno dok je incident još aktivan.

Zapišite vremensku oznaku poziva uz vrijednosti, jer se oba polja mijenjaju.

ALLOCATING_RESOURCES nije neusklađenost ključa

Kada tunel prijavi ALLOCATING_RESOURCES, pružatelj još sastavlja objekt. Neusklađenost unaprijed dijeljenog ključa ne može se uočiti u toj fazi, a blokiran port partnera je jednako nedokazan. Ono što možete provjeriti jest detaljna poruka, izgledaju li projekt i usluga zdravo i je li konfiguracija tunela dovoljno potpuna da se partner uopće može kontaktirati. Zamjena tajne sada mijenja vrijednost koja nikada nije testirana.

Pričekajte da se stanje promijeni prije nego zaključite nešto o konfiguraciji.

ESTABLISHED je početak provjera pristupa

Uspostavljen tunel znači da je IKE završen, a ne da promet teče. Potvrdite rute koje tunel nosi i, gdje je uključen Cloud Router, potvrdite BGP sesiju i prefikse koje je naučila. Zatim testirajte dopuštenu razmjenu aplikacije, jer pravilo vatrozida ili ruta koja nedostaje može blokirati promet kroz posve zdrav tunel. Svako od toga je odvojeno promatranje s odvojenim rješenjem.

Status vam kaže koje pitanje sljedeće postaviti. Nikada umjesto vas ne odgovara na pitanje pristupa.

Povežite jedan objekt i jedan vremenski prozor

Stara greška autentikacije u zapisu pripada ranijem pokušaju, osim ako njezina vremenska oznaka ne padne unutar prozora koji istražujete. Izvucite zapise za resurs tunela za iste minute kao zabilježeni status i držite identifikatore zajedno. Kasniji IKE događaj može pokazati da je pregovaranje počelo, dok je poruka u konzoli u koju buljite već zastarjela.

Ako se tunel oporavi prije nego što išta prikupite, recite to. Neodređen uzrok je bolji zapis od samouvjerene priče sastavljene od nepovezanih redaka.

Sljedeći korak uvijek ima isti oblik: jedan objekt, jedan prozor, jedna faza. Sve šire je sažetak, ne dijagnoza.