Stav Cloud VPN: prečítajte stav zdroja pred protokolom IKE

Tunel Cloud VPN prevádzkuje dva životné cykly naraz a nejdú na rovnakých hodinkách. Zdroj musí byť pridelený a nakonfigurovaný, aby mohol vyjednávať, a protokol má potom vlastnú postupnosť správ IKE. Pole stavu môže hlásiť prvý, pričom o druhom nepovie nič užitočné. Čítať ich ako jednu vec je spôsob, akým sa nezhoda kľúča obviní zo oneskorenia pri zriaďovaní.

Začnite jedným objektom tunela a jedným časovým oknom.

Dva životné cykly, jeden objekt tunela

Životný cyklus zdroja je príprava tunela poskytovateľom: adresy, konfigurácia, kapacita. Životný cyklus protokolu sa začína, keď obe strany majú dosť konfigurácie na výmenu IKE_SA_INIT, potom IKE_AUTH, potom podriadených bezpečnostných asociácií. Tunel, ktorý je stále v prvej fáze, nezlyhal v autentifikácii, pretože autentifikácia ešte nebola vyskúšaná.

Práve ten rozdiel je celý problém. Všetko ostatné je otázka, ako to pozorovať bez zlievania nesúvisiacich správ.

Čítajte objekt, nie zhrnutie v konzole

Požiadajte API o dve polia, na ktorých záleží, a o nič iné, aby odpoveď zostala dosť malá na prečítanie o tretej ráno: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Pole status pomenúva fázu životného cyklu a detailedStatus nesie čitateľný dôvod, ktorý je k nej pripojený. Úplný výpis konfigurácie odpovedá na iné otázky a ťažšie sa vkladá do tiketu. Takéto volania iba na čítanie nemôžu tunel zmeniť, čo je dôležité, kým je incident ešte aktívny.

Zapíšte časovú pečiatku volania vedľa hodnôt, pretože sa menia obe polia.

ALLOCATING_RESOURCES nie je nezhoda kľúča

Keď tunel hlási ALLOCATING_RESOURCES, poskytovateľ objekt ešte skladá. Nezhodu vopred zdieľaného kľúča v tejto fáze pozorovať nemožno a zablokovaný port partnera je rovnako nepreukázaný. Skontrolovať môžete podrobnú správu, či projekt a služba vyzerajú zdravo a či je konfigurácia tunela dosť úplná, aby sa s partnerom vôbec dalo spojiť. Výmena tajomstva teraz mení hodnotu, ktorá nikdy nebola testovaná.

Počkajte, kým sa stav pohne, až potom urobte záver o konfigurácii.

ESTABLISHED je začiatok kontrol prístupu

Nadviazaný tunel znamená, že IKE sa dokončil, nie že prevádzka tečie. Potvrďte trasy, ktoré tunel nesie, a tam, kde je zapojený Cloud Router, potvrďte reláciu BGP a prefixy, ktoré sa naučila. Potom otestujte povolenú výmenu aplikácie, pretože pravidlo firewallu alebo chýbajúca trasa môžu zablokovať prevádzku cez úplne zdravý tunel. Každé z toho je samostatné pozorovanie so samostatnou opravou.

Stav vám povie, ktorú otázku položiť ďalej. Nikdy za vás neodpovie na otázku prístupu.

Skorelujte jeden objekt a jedno časové okno

Stará chyba autentifikácie v protokole patrí skoršiemu pokusu, ak jej časová pečiatka nepadne do okna, ktoré skúmate. Stiahnite protokoly pre zdroj tunela za tie isté minúty ako zaznamenaný stav a držte identifikátory spolu. Neskoršia udalosť IKE môže ukázať, že vyjednávanie sa začalo, zatiaľ čo správa v konzole, na ktorú sa pozeráte, je už zastaraná.

Ak sa tunel obnoví skôr, než čokoľvek zozbierate, povedzte to. Neurčená príčina je lepší záznam než sebavedomý príbeh poskladaný z nesúvisiacich riadkov.

Ďalší krok má vždy rovnaký tvar: jeden objekt, jedno okno, jedna fáza. Čokoľvek širšie je zhrnutie, nie diagnóza.