A duhet të aktivizoni regjistrat e tunelit AWS VPN në një tunel aktiv?

Aktivizimi i regjistrave të aktivitetit të tunelit për një VPN site-to-site është një ndryshim i vogël që mund të rrëzojë tunelin që po mat. AWS paralajmëron se aktivizimi i regjistrimit në një tunel ekzistues mund ta ndërpresë atë për disa minuta, prandaj pyetja interesante nuk është si ta kthesh flamurin, por në cilin tunel ta kthesh dhe kur. Tre kushte përcaktojnë rendin: nëse tuneli tjetër i mbart vërtet rrugët, nëse ju nevojiten ngjarje shërbimi apo ngjarje BGP, dhe nëse ndryshimi kalon përmes konsolës apo API-së së opsioneve të tunelit. Nëse gaboni këto, do të përfundoni ose me një ndërprerje ose me një grup regjistrash plot asgjë.

Tre kushte përcaktojnë rendin

Filloni me identitetin e asaj që po ndryshoni. Ju nevojitet ID-ja e lidhjes VPN, rajoni dhe adresa IP e jashtme e tunelit konkret, sepse çdo rregullim regjistri në këtë veçori është për tunel dhe jo për lidhje. Një ndryshim i aplikuar në adresën e gabuar të jashtme është një ndryshim në një tunel që askush nuk po korrigjonte.

Destinacioni është një grup regjistrash CloudWatch në të njëjtin rajon, me politikën e mbajtjes dhe të aksesit që vërtet dëshironi. AWS rekomandon prefiksin /aws/vendedlogs/ për këto grupe sepse shmang kufijtë e madhësisë së politikës së burimeve me të cilët mund të përplasen emrat e thjeshtë. Një emër si /aws/vendedlogs/vpn/branch-a-activity është vetëm ilustrues; e rëndësishmja është që grupi ekziston, që roli i dorëzimit mund të shkruajë në të dhe që të dyja i menaxhon ai që zotëron konfigurimin e VPN-së. Emri nuk jep leje, dhe një grup i krijuar pa politikën e dorëzimit prodhon heshtje në vend të gabimit.

Kushti i parë: një tunel i tepërt që vërtet mbart trafik

Ky është kushti që ekipet e kalojnë. Dy tunele të konfiguruar nuk janë provë se aplikacioni ka një rrugë alternative të përdorshme.

Përpara se të prekni një tunel, konfirmoni se tjetri mbart rrugët që kanë rëndësi: kontrolloni tabelën e rrugëzimit në anën e portës së klientit dhe konfirmoni se aplikacioni vërtet mund të kalojë. Dritarja e ndërprerjes së AWS është në minuta, jo në sekonda, dhe një tunel që ekziston vetëm në letër e kthen një ndryshim diagnostik në ndërprerje. Nëse rruga e tepërt nuk është provuar, planifikoni ndryshimin me të njëjtin kujdes si çdo ndryshim tjetër rrugëzimi, në vend që ta trajtoni regjistrimin si pasiv. Instrumentoni tunelin, sjelljen e të cilit po përpiqeni të shpjegoni, jo atë që është më i lehtë për t'u arritur.

Kushti i dytë: regjistër aktiviteti apo regjistër BGP

Ky vendos se çfarë do të mund të lexoni vërtet. Regjistrat e aktivitetit mbulojnë ngjarje shërbimi si tranzicionet e gjendjes IKE dhe IPsec dhe mesazhet DPD, që është ajo që dëshironi kur tuneli nuk ngrihet ose vazhdon të rinovojë çelësat. Regjistrat BGP janë një rrjedhë e veçantë me kontrollet e veta dhe i përgjigjen një pyetjeje tjetër: nëse rrugët u shkëmbyen dhe u tërhoqën siç pritej.

Aktivizimi i flamurit të aktivitetit nuk është një kërkesë për çdo rrjedhë që shërbimi mund të lëshojë. Nëse dyshimi është rrugëzimi, aktivizoni të dyja; nëse dyshimi është negociimi i fazës 1 ose fazës 2, rrjedha e aktivitetit është ajo që do ta tregojë.

Asnjëra rrjedhë nuk është kapje paketash, dhe ky dallim zgjidh më shumë bileta sesa duhet. Regjistrat e aktivitetit dhe BGP ju tregojnë çfarë bëri shërbimi me tunelin dhe sesionin, jo çfarë dërgoi aplikacioni juaj përmes tij. T'i drejtohesh regjistrave të tunelit për të korrigjuar një skadim kohe të aplikacionit është gabim kategorie dhe zakonisht kushton një dritare ndërprerjeje përpara se dikush ta vërë re. Zgjidhni së pari pyetjen, pastaj rrjedhën që mund t'i përgjigjet asaj.

Kushti i tretë: ndryshim nga konsola apo API i opsioneve të tunelit

Nëse një njeri po bën një ndryshim të vetëm, rruga përmes konsolës është në rregull: VPC console, Site-to-Site VPN connections, zgjidhni lidhjen, Actions, Modify VPN tunnel options, zgjidhni IP-në e jashtme, aktivizoni Tunnel activity log, zgjidhni grupin dhe formatin e daljes, ruani brenda dritares. Nëse VPN-ja menaxhohet si kod, i njëjti klik është një devijim që do ta rakordoni më vonë.

Për automatizim, pjesa e regjistrit të aktivitetit e opsioneve të tunelit ka një formë fikse: LogOptions përmban CloudWatchLogOptions me LogEnabled, LogGroupArn dhe LogOutputFormat. Ai bllok është fragment, jo kërkesë; modify-vpn-tunnel-options ende ka nevojë për ID-në e lidhjes dhe IP-në e jashtme të tunelit, dhe rregullimet e tjera të tunelit duhet t'i ruajë ai që zotëron shabllonin. Regjistrimi BGP përdor çelësat e vet BgpLogEnabled, BgpLogGroupArn dhe BgpLogOutputFormat në të njëjtën strukturë. Lexojeni ndryshimin mbrapsht me describe-vpn-connections në vend që të besoni se thirrja u aplikua.

Çfarë mund dhe çfarë nuk mund t'ju thonë regjistrat

Pasi tuneli i parë të ketë përfunduar dhe rruga e synuar të jetë e disponueshme, përsëritni të njëjtën sekuencë të kontrolluar për tunelin e dytë nëse ju nevojiten edhe regjistrat e tij. Një tunel njëherësh është e gjithë pika.

Regjistrat vijnë në rrjedha të identifikuara nga lidhja dhe adresa e jashtme e tunelit, prandaj koreloni me atë identitet në vend që të prisni që historiku të shfaqet në mënyrë retroaktive. Asgjë përpara ndryshimit nuk ekziston, dhe asnjë pritje nuk e plotëson boshllëkun. Nëse ju nevojitet një vijë bazë, regjistroni gjendjen aktuale të tunelit dhe tabelën e rrugëzimit përpara ndryshimit që të ketë diçka për të krahasuar.

Mbajeni grupin e regjistrave, mbajtjen e tij, lejet e dorëzimit dhe bllokun e opsioneve të tunelit në të njëjtin inventar si vetë VPN-ja, sepse janë një konfigurim i shpërndarë në katër vende. Procedura e AWS për aktivizimin e regjistrave dokumenton rrjedhën e punës për çdo tunel dhe paralajmërimin e ndërprerjes, dhe ia vlen ta lexoni përpara ndryshimit dhe jo pas tij. Pastaj verifikoni me radhë: tuneli u kthye, regjistrat po shfaqen në rrjedhën e pritur dhe regjistrat po i përgjigjen pyetjes për të cilën hapët biletën. Nëse i treti dështon, problemi ishte zgjedhja e rrjedhës dhe jo regjistrimi.