Stanje Cloud VPN: najprej preberite stanje vira, nato dnevnik IKE

Tunel Cloud VPN hkrati izvaja dva življenjska cikla in nista na isti uri. Vir je treba dodeliti in konfigurirati, preden se lahko pogaja, nato pa ima protokol svoje zaporedje sporočil IKE. Polje stanja lahko poroča o prvem, ne da bi povedalo kaj koristnega o drugem. Branje obeh kot ene stvari je način, kako se neujemanje ključa okrivi za zamudo pri zagotavljanju.

Začnite z enim objektom tunela in enim časovnim oknom.

Dva življenjska cikla, en objekt tunela

Življenjski cikel vira je ponudnikovo pripravljanje tunela: naslovi, konfiguracija, zmogljivost. Življenjski cikel protokola se začne, ko imata obe strani dovolj konfiguracije za izmenjavo IKE_SA_INIT, nato IKE_AUTH, nato podrejenih varnostnih povezav. Tunel, ki je še v prvi fazi, ni spodletel pri overjanju, ker overjanje še ni bilo poskušeno.

Prav ta razlika je celoten problem. Vse ostalo je vprašanje, kako to opazovati, ne da bi združevali nepovezana sporočila.

Berite objekt, ne povzetka v konzoli

API vprašajte samo za dve polji, ki štejeta, in nič drugega, da odgovor ostane dovolj majhen za branje ob treh zjutraj: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Polje status poimenuje fazo življenjskega cikla, detailedStatus pa nosi berljiv razlog, povezan z njo. Celoten izpis konfiguracije odgovarja na druga vprašanja in ga je težje prilepiti v zahtevek. Takšni klici samo za branje ne morejo spremeniti tunela, kar je pomembno, dokler je incident še aktiven.

Zapišite časovni žig klica ob vrednostih, ker se premikata obe polji.

ALLOCATING_RESOURCES ni neujemanje ključa

Ko tunel poroča ALLOCATING_RESOURCES, ponudnik še sestavlja objekt. Neujemanja vnaprej deljenega ključa v tej fazi ni mogoče opazovati, blokirana vrata partnerja pa so prav tako nedokazana. Preverite lahko podrobno sporočilo, ali sta projekt in storitev videti zdrava in ali je konfiguracija tunela dovolj popolna, da se je s partnerjem sploh mogoče povezati. Zamenjava skrivnosti zdaj spremeni vrednost, ki ni bila nikoli preizkušena.

Počakajte, da se stanje premakne, preden sklepate o konfiguraciji.

ESTABLISHED je začetek preverjanj dostopa

Vzpostavljen tunel pomeni, da je IKE končan, ne da promet teče. Potrdite poti, ki jih tunel nosi, in kjer sodeluje Cloud Router, potrdite sejo BGP in predpone, ki se jih je naučil. Nato preizkusite dovoljeno izmenjavo aplikacije, ker lahko pravilo požarnega zidu ali manjkajoča pot blokira promet skozi popolnoma zdrav tunel. Vsako od tega je ločeno opazovanje z ločenim popravkom.

Stanje vam pove, katero vprašanje zastaviti naslednje. Nikoli ne odgovori na vprašanje dostopa namesto vas.

Povežite en objekt in eno časovno okno

Stara napaka overjanja v dnevniku pripada prejšnjemu poskusu, razen če njen časovni žig pade v okno, ki ga preučujete. Pridobite dnevnike vira tunela za iste minute kot zabeleženo stanje in držite identifikatorje skupaj. Kasnejši dogodek IKE lahko pokaže, da se je pogajanje začelo, medtem ko je sporočilo v konzoli, v katero strmite, že zastarelo.

Če si tunel opomore, preden karkoli zberete, to povejte. Nedoločen vzrok je boljši zapis kot samozavestna zgodba, sestavljena iz nepovezanih vrstic.

Naslednji korak ima vedno enako obliko: en objekt, eno okno, ena faza. Karkoli širše je povzetek, ne diagnoza.