Ali naj omogočite dnevnike tunela AWS VPN na aktivnem tunelu?

Vklop dnevnikov dejavnosti tunela za VPN od mesta do mesta je majhna sprememba, ki lahko podre tunel, ki ga meri. AWS opozarja, da lahko omogočanje beleženja na obstoječem tunelu prekine tunel za nekaj minut, zato zanimivo vprašanje ni, kako obrniti zastavico, temveč na katerem tunelu jo obrniti in kdaj. Vrstni red določajo trije pogoji: ali drugi tunel res nosi poti, ali potrebujete servisne dogodke ali dogodke BGP, in ali sprememba poteka prek konzole ali prek API-ja možnosti tunela. Če se pri tem zmotite, boste končali bodisi s prekinitvijo bodisi s skupino dnevnikov, polno ničesar.

Vrstni red določajo trije pogoji

Začnite z identiteto stvari, ki jo spreminjate. Potrebujete ID povezave VPN, območje in zunanji IP naslov določenega tunela, ker je vsaka nastavitev dnevnika v tej funkciji na tunel in ne na povezavo. Sprememba, uporabljena na napačnem zunanjem naslovu, je sprememba na tunelu, ki ga nihče ni odpravljal.

Cilj je skupina dnevnikov CloudWatch v istem območju s pravilnikom o hrambi in dostopu, ki ga resnično želite. AWS priporoča predpono /aws/vendedlogs/ za te skupine, ker se izogne omejitvam velikosti pravilnika virov, na katere lahko naletijo običajna imena. Ime, kot je /aws/vendedlogs/vpn/branch-a-activity, je le ponazoritev; pomembno je, da skupina obstaja, da lahko vanjo piše vloga za dostavo in da oboje upravlja tisti, ki ima konfiguracijo VPN. Ime ne dodeljuje dovoljenj, skupina, ustvarjena brez pravilnika za dostavo, pa ustvari tišino namesto napake.

Prvi pogoj: rezervni tunel, ki resnično nosi promet

To je pogoj, ki ga ekipe preskočijo. Dva konfigurirana tunela nista dokaz, da ima aplikacija uporabno alternativno pot.

Preden se dotaknete enega tunela, potrdite, da drugi nosi pomembne poti: preverite usmerjevalno tabelo na strani odjemalske prehodne točke in potrdite, da se aplikacija resnično lahko preklopi. Okno prekinitve pri AWS je v minutah, ne v sekundah, in tunel, ki obstaja le na papirju, spremeni diagnostično spremembo v izpad. Če rezervna pot ni dokazana, načrtujte spremembo z enako skrbnostjo kot vsako drugo usmerjevalno spremembo, namesto da bi beleženje obravnavali kot pasivno. Instrumentirajte tunel, katerega vedenje poskušate razložiti, ne tistega, do katerega je lažje priti.

Drugi pogoj: dnevnik dejavnosti ali dnevnik BGP

Ta odloči, kaj boste resnično lahko prebrali. Zapisi dejavnosti pokrivajo servisne dogodke, kot so prehodi stanja IKE in IPsec ter sporočila DPD, kar potrebujete, ko tunel ne vstane ali nenehno obnavlja ključe. Zapisi BGP so ločen tok z lastnimi kontrolami in odgovarjajo na drugo vprašanje: ali so bile poti izmenjane in umaknjene po pričakovanjih.

Vklop zastavice dejavnosti ni zahteva za vsak tok, ki ga storitev lahko odda. Če je sum na usmerjanje, vklopite oboje; če je sum na pogajanja o fazi 1 ali fazi 2, bo to pokazal tok dejavnosti.

Noben tok ni zajem paketov in ta razlika reši več zahtevkov, kot bi smela. Zapisi dejavnosti in BGP vam povedo, kaj je storitev naredila s tunelom in sejo, ne pa, kaj je vaša aplikacija poslala skozi njega. Seganje po dnevnikih tunela za odpravljanje časovne omejitve aplikacije je kategorijska napaka in običajno stane eno okno prekinitve, preden kdo opazi. Najprej izberite vprašanje, nato tok, ki lahko odgovori nanj.

Tretji pogoj: sprememba prek konzole ali API-ja možnosti tunela

Če človek izvede enkratno spremembo, je pot prek konzole v redu: VPC console, Site-to-Site VPN connections, izberite povezavo, Actions, Modify VPN tunnel options, izberite zunanji IP, omogočite Tunnel activity log, izberite skupino in izhodno obliko, shranite v oknu. Če se VPN upravlja kot koda, je isti klik odklon, ki ga boste pozneje uskladili.

Za avtomatizacijo ima del možnosti tunela za dnevnik dejavnosti fiksno obliko: LogOptions vsebuje CloudWatchLogOptions z LogEnabled, LogGroupArn in LogOutputFormat. Ta blok je fragment, ne zahteva; modify-vpn-tunnel-options še vedno potrebuje ID povezave in zunanji IP tunela, preostale nastavitve tunela pa mora ohraniti tisti, ki ima predlogo. Beleženje BGP uporablja lastne ključe BgpLogEnabled, BgpLogGroupArn in BgpLogOutputFormat v isti strukturi. Preberite spremembo nazaj s describe-vpn-connections, namesto da bi zaupali, da je bil klic uporabljen.

Kaj vam zapisi lahko in česa ne morejo povedati

Ko je prvi tunel končan in je predvidena pot na voljo, ponovite isto nadzorovano zaporedje za drugi tunel, če potrebujete tudi njegove dnevnike. En tunel naenkrat je vsa poanta.

Zapisi prihajajo v tokovih, ki jih določata povezava in zunanji naslov tunela, zato korelirajte s to identiteto, namesto da bi pričakovali, da se bo zgodovina pojavila za nazaj. Ničesar pred spremembo ni in nobeno čakanje ne zapolni vrzeli. Če potrebujete osnovno črto, pred spremembo zabeležite trenutno stanje tunela in usmerjevalno tabelo, da bo s čim primerjati.

Skupino dnevnikov, njeno hrambo, njena dovoljenja za dostavo in blok možnosti tunela imejte v istem seznamu kot sam VPN, ker gre za eno konfiguracijo, razpršeno na štiri mesta. Postopek AWS za omogočanje dnevnikov dokumentira potek dela za vsak tunel in njegovo opozorilo o prekinitvi, in vredno ga je prebrati pred spremembo in ne po njej. Nato preverite po vrsti: tunel se je vrnil, zapisi se pojavljajo v pričakovanem toku in zapisi odgovarjajo na vprašanje, zaradi katerega ste odprli zahtevek. Če tretje ne uspe, je bila težava izbira toka in ne beleženje.