Mali by ste zapnúť denníky tunela AWS VPN na aktívnom tuneli?

Zapnutie denníkov aktivity tunela pre Site-to-Site VPN je malá zmena, ktorá môže zhodiť tunel, ktorý meria. AWS varuje, že povolenie protokolovania na existujúcom tuneli ho môže na niekoľko minút prerušiť, takže zaujímavá otázka nie je, ako prepnúť príznak, ale na ktorom tuneli ho prepnúť a kedy. Poradie určujú tri podmienky: či druhý tunel skutočne nesie trasy, či potrebujete udalosti služby alebo udalosti BGP, a či zmena ide cez konzolu alebo cez API možností tunela. Pomýlite sa a skončíte buď s výpadkom, alebo so skupinou denníkov plnou ničoho.

Poradie určujú tri podmienky

Začnite identitou veci, ktorú meníte. Potrebujete ID pripojenia VPN, oblasť a vonkajšiu IP adresu konkrétneho tunela, pretože každé nastavenie denníka v tejto funkcii je na tunel, nie na pripojenie. Zmena aplikovaná na nesprávnu vonkajšiu adresu je zmena na tuneli, ktorý nikto neladil.

Cieľom je skupina denníkov CloudWatch v tej istej oblasti s politikou uchovávania a prístupu, ktorú skutočne chcete. AWS odporúča pre tieto skupiny predponu /aws/vendedlogs/, pretože obchádza limity veľkosti zásad prostriedkov, na ktoré môžu naraziť bežné názvy. Názov ako /aws/vendedlogs/vpn/branch-a-activity je len ilustratívny; dôležité je, že skupina existuje, že do nej rola doručovania môže zapisovať a že obe spravuje ten, kto vlastní konfiguráciu VPN. Názov neudeľuje oprávnenia a skupina vytvorená bez zásady doručovania produkuje ticho, nie chybu.

Prvá podmienka: záložný tunel, ktorý skutočne nesie prevádzku

Túto podmienku tímy preskakujú. Dva nakonfigurované tunely nie sú dôkazom, že aplikácia má použiteľnú alternatívnu cestu.

Skôr než sa dotknete jedného tunela, potvrďte, že druhý nesie trasy, na ktorých záleží: skontrolujte smerovaciu tabuľku na strane zákazníckej brány a potvrďte, že aplikácia sa skutočne dokáže prepnúť. Okno prerušenia v AWS je v minútach, nie v sekundách, a tunel, ktorý existuje len na papieri, mení diagnostickú zmenu na výpadok. Ak záložná cesta nie je preukázaná, naplánujte zmenu s rovnakou starostlivosťou ako každú inú zmenu smerovania, namiesto toho, aby ste protokolovanie brali ako pasívne. Instrumentujte tunel, ktorého správanie sa snažíte vysvetliť, nie ten, ku ktorému je ľahšie sa dostať.

Druhá podmienka: denník aktivity alebo denník BGP

Táto rozhoduje, čo skutočne budete môcť čítať. Záznamy aktivity pokrývajú udalosti služby, ako sú prechody stavu IKE a IPsec a správy DPD, čo je to, čo chcete, keď tunel nenabehne alebo stále obnovuje kľúče. Záznamy BGP sú samostatný tok s vlastnými ovládacími prvkami a odpovedajú na inú otázku: či boli trasy vymenené a stiahnuté podľa očakávania.

Zapnutie príznaku aktivity nie je žiadosť o každý tok, ktorý služba môže vysielať. Ak je podozrenie na smerovanie, zapnite oboje; ak je podozrenie na vyjednávanie fázy 1 alebo fázy 2, tok aktivity to ukáže.

Ani jeden tok nie je zachytávanie paketov a tento rozdiel rozhoduje viac tiketov, než by mal. Záznamy aktivity a BGP vám hovoria, čo služba urobila s tunelom a reláciou, nie čo cez ne poslala vaša aplikácia. Siahnuť po denníkoch tunela pri ladení časového limitu aplikácie je chyba kategórie a zvyčajne stojí jedno okno prerušenia, kým si to niekto všimne. Najprv si vyberte otázku, potom tok, ktorý na ňu dokáže odpovedať.

Tretia podmienka: zmena cez konzolu alebo API možností tunela

Ak človek robí jednorazovú zmenu, cesta cez konzolu je v poriadku: VPC console, Site-to-Site VPN connections, vyberte pripojenie, Actions, Modify VPN tunnel options, vyberte vonkajšiu IP, zapnite Tunnel activity log, vyberte skupinu a výstupný formát, uložte v okne. Ak sa VPN spravuje ako kód, to isté kliknutie je drift, ktorý neskôr zosúladíte.

Pre automatizáciu má časť možností tunela týkajúca sa denníka aktivity pevný tvar: LogOptions obsahuje CloudWatchLogOptions s LogEnabled, LogGroupArn a LogOutputFormat. Tento blok je fragment, nie požiadavka; modify-vpn-tunnel-options stále potrebuje ID pripojenia a vonkajšiu IP tunela a ostatné nastavenia tunela musí zachovať ten, kto vlastní šablónu. Protokolovanie BGP používa vlastné kľúče BgpLogEnabled, BgpLogGroupArn a BgpLogOutputFormat v tej istej štruktúre. Prečítajte zmenu späť pomocou describe-vpn-connections, namiesto toho, aby ste verili, že volanie sa použilo.

Čo vám záznamy môžu a nemôžu povedať

Keď je prvý tunel hotový a zamýšľaná cesta je dostupná, zopakujte rovnakú riadenú sekvenciu pre druhý tunel, ak potrebujete aj jeho denníky. Jeden tunel naraz je celý zmysel.

Záznamy prichádzajú v tokoch identifikovaných pripojením a vonkajšou adresou tunela, preto korelujte s touto identitou, namiesto toho, aby ste očakávali, že história sa objaví spätne. Nič pred zmenou neexistuje a žiadne čakanie medzeru nevyplní. Ak potrebujete základnú líniu, pred zmenou zaznamenajte aktuálny stav tunela a smerovaciu tabuľku, aby bolo s čím porovnávať.

Udržujte skupinu denníkov, jej uchovávanie, jej oprávnenia na doručovanie a blok možností tunela v rovnakom inventári ako samotnú VPN, pretože sú jednou konfiguráciou rozloženou na štyri miesta. Postup AWS na zapnutie denníkov dokumentuje pracovný postup pre každý tunel a jeho varovanie pred prerušením, a stojí za prečítanie pred zmenou, nie po nej. Potom overte v poradí: tunel sa vrátil, záznamy sa objavujú v očakávanom toku a záznamy odpovedajú na otázku, pre ktorú ste otvorili tiket. Ak tretie zlyhá, problémom bol výber toku, nie protokolovanie.