Treba li omogućiti zapise tunela AWS VPN na aktivnom tunelu?

Uključivanje zapisa aktivnosti tunela za Site-to-Site VPN mala je promjena koja može oboriti tunel koji mjeri. AWS upozorava da omogućavanje evidentiranja na postojećem tunelu može prekinuti tunel na nekoliko minuta, pa zanimljivo pitanje nije kako prebaciti zastavicu, nego na kojem tunelu je prebaciti i kada. Tri uvjeta određuju redoslijed: nosi li drugi tunel zaista rute, trebaju li vam servisni događaji ili BGP događaji, i ide li promjena kroz konzolu ili kroz API opcija tunela. Pogriješite li, završite ili s prekidom ili s grupom zapisa punom ničega.

Tri uvjeta određuju redoslijed

Pođite od identiteta stvari koju mijenjate. Trebaju vam ID VPN veze, regija i vanjska IP adresa konkretnog tunela, jer je svaka postavka zapisa u ovoj funkciji po tunelu, a ne po vezi. Promjena primijenjena na pogrešnu vanjsku adresu promjena je tunela koji nitko nije otklanjao.

Odredište je grupa zapisa CloudWatch u istoj regiji, s politikom zadržavanja i pristupa koju zaista želite. AWS preporučuje prefiks /aws/vendedlogs/ za te grupe jer izbjegava ograničenja veličine politike resursa na koja mogu naići obična imena. Ime poput /aws/vendedlogs/vpn/branch-a-activity samo je ilustrativno; važno je da grupa postoji, da u nju može pisati uloga za dostavu i da oboje vodi onaj tko posjeduje konfiguraciju VPN-a. Ime ne daje dopuštenja, a grupa stvorena bez politike dostave proizvodi tišinu, a ne grešku.

Prvi uvjet: rezervni tunel koji zaista nosi promet

To je uvjet koji timovi preskaču. Dva konfigurirana tunela nisu dokaz da aplikacija ima upotrebljiv alternativni put.

Prije nego dotaknete jedan tunel, potvrdite da drugi nosi rute koje su važne: provjerite tablicu usmjeravanja na strani korisničkog pristupnika i potvrdite da se aplikacija zaista može prebaciti. AWS-ov prozor prekida traje minutama, ne sekundama, a tunel koji postoji samo na papiru pretvara dijagnostičku promjenu u prekid. Ako rezervni put nije dokazan, isplanirajte promjenu s istom pažnjom kao i svaku drugu promjenu usmjeravanja, umjesto da evidentiranje tretirate kao pasivno. Instrumentirajte tunel čije ponašanje pokušavate objasniti, a ne onaj do kojeg je lakše doći.

Drugi uvjet: zapis aktivnosti ili BGP zapis

Ovaj uvjet odlučuje što ćete zapravo moći čitati. Zapis aktivnosti pokriva servisne događaje poput prijelaza stanja IKE i IPsec te DPD poruka, što želite kada se tunel ne diže ili stalno obnavlja ključeve. BGP zapisi su zaseban tok s vlastitim kontrolama i odgovaraju na drugo pitanje: jesu li rute razmijenjene i povučene kako se očekivalo.

Uključivanje zastavice aktivnosti nije zahtjev za svaki tok koji servis može emitirati. Ako je sumnja u usmjeravanje, uključite oboje; ako je sumnja u pregovaranje faze 1 ili faze 2, tok aktivnosti je onaj koji će to pokazati.

Nijedan tok nije hvatanje paketa i ta razlika rješava više tiketa nego što bi trebala. Zapis aktivnosti i BGP zapisi govore što je servis učinio s tunelom i sesijom, a ne što je vaša aplikacija poslala kroz njih. Posezanje za zapisima tunela da biste otklonili aplikacijski timeout je greška kategorije i obično košta jedan prozor prekida prije nego što itko primijeti. Prvo odaberite pitanje, zatim tok koji na njega može odgovoriti.

Treći uvjet: promjena kroz konzolu ili API opcija tunela

Ako čovjek radi jednokratnu promjenu, put kroz konzolu je u redu: VPC console, Site-to-Site VPN connections, odaberite vezu, Actions, Modify VPN tunnel options, odaberite vanjski IP, uključite Tunnel activity log, odaberite grupu i izlazni format, spremite unutar prozora. Ako se VPN upravlja kao kod, isti klik je drift koji ćete kasnije uskladiti.

Za automatizaciju, dio opcija tunela koji se tiče zapisa aktivnosti ima fiksni oblik: LogOptions sadrži CloudWatchLogOptions s LogEnabled, LogGroupArn i LogOutputFormat. Taj je blok fragment, ne zahtjev; modify-vpn-tunnel-options i dalje treba ID veze i vanjski IP tunela, a preostale postavke tunela mora sačuvati onaj tko posjeduje predložak. BGP evidentiranje koristi vlastite ključeve BgpLogEnabled, BgpLogGroupArn i BgpLogOutputFormat u istoj strukturi. Pročitajte promjenu natrag pomoću describe-vpn-connections umjesto da vjerujete da se poziv primijenio.

Što vam zapisi mogu, a što ne mogu reći

Kad je prvi tunel gotov i željeni put dostupan, ponovite isti kontrolirani slijed za drugi tunel ako trebate i njegove zapise. Jedan tunel odjednom je cijela poanta.

Zapisi dolaze u tokovima identificiranima vezom i vanjskom adresom tunela, pa korelirajte s tim identitetom umjesto da očekujete da će se povijest pojaviti retroaktivno. Ništa prije promjene ne postoji i nikakvo čekanje ne popunjava prazninu. Ako vam treba osnovna crta, zabilježite trenutno stanje tunela i tablicu usmjeravanja prije promjene da biste imali s čim usporediti.

Držite grupu zapisa, njezino zadržavanje, njezina dopuštenja za dostavu i blok opcija tunela u istom inventaru kao i sam VPN, jer je to jedna konfiguracija razasuta na četiri mjesta. AWS-ov postupak za uključivanje zapisa dokumentira tijek rada po tunelu i njegovo upozorenje o prekidu i vrijedi ga pročitati prije promjene, a ne poslije. Zatim provjerite redom: tunel se vratio, zapisi se pojavljuju u očekivanom toku i zapisi odgovaraju na pitanje zbog kojeg ste otvorili tiket. Ako treće ne uspije, problem je bio izbor toka, a ne evidentiranje.