Статус Cloud VPN-а: прво прочитајте стање ресурса, па IKE дневник

Тунел Cloud VPN-а води два животна циклуса истовремено и они нису на истом сату. Ресурс мора бити додељен и конфигурисан пре него што може да преговара, а након тога протокол има сопствени редослед IKE порука. Поље статуса може да пријави прво, а да не каже ништа корисно о другом. Читање тога као једне ствари је начин на који се неусаглашеност кључа окривљује за кашњење у припреми.

Почните са једним објектом тунела и једним временским прозором.

Два животна циклуса, један објекат тунела

Животни циклус ресурса је припрема тунела од стране пружаоца: адресе, конфигурација, капацитет. Животни циклус протокола почиње када обе стране имају довољно конфигурације за размену IKE_SA_INIT, затим IKE_AUTH, затим подређених безбедносних асоцијација. Тунел који је још у првој фази није пао на аутентикацији, јер аутентикација још није покушана.

Та разлика је цео проблем. Све остало је како то посматрати без спајања неповезаних порука.

Читајте објекат, а не резиме у конзоли

Питајте API за два поља која су важна и ништа друго, да одговор остане довољно мали да се прочита у три сата ујутру: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Поље status именује фазу животног циклуса, а detailedStatus носи читљив разлог који је уз њу везан. Потпуни испис конфигурације одговара на друга питања и теже га је залепити у тикет. Овакви позиви само за читање не могу да промене тунел, што је важно док је инцидент још активан.

Запишите временску ознаку позива поред вредности, јер се оба поља мењају.

ALLOCATING_RESOURCES није неусаглашеност кључа

Када тунел пријави ALLOCATING_RESOURCES, пружалац још саставља објекат. Неусаглашеност унапред дељеног кључа не може се уочити у тој фази, а блокиран порт партнера је једнако недоказан. Оно што можете да проверите јесте детаљна порука, да ли пројекат и услуга изгледају здраво и да ли је конфигурација тунела довољно потпуна да се партнер уопште може контактирати. Замена тајне сада мења вредност која никада није тестирана.

Сачекајте да се стање промени пре него што донесете закључак о конфигурацији.

ESTABLISHED је почетак провера приступа

Успостављен тунел значи да је IKE завршен, а не да саобраћај тече. Потврдите руте које тунел носи и, где је укључен Cloud Router, потврдите BGP сесију и префиксе које је научила. Затим тестирајте дозвољену размену апликације, јер правило заштитног зида или рута која недостаје могу блокирати саобраћај кроз потпуно здрав тунел. Свако од тога је одвојено посматрање са одвојеним решењем.

Статус вам каже које питање следеће поставити. Никада уместо вас не одговара на питање приступа.

Повежите један објекат и један временски прозор

Стара грешка аутентикације у дневнику припада ранијем покушају, осим ако њена временска ознака не падне унутар прозора који истражујете. Извуците дневнике за ресурс тунела за исте минуте као забележени статус и држите идентификаторе заједно. Каснији IKE догађај може показати да су преговори почели, док је порука у конзоли у коју гледате већ застарела.

Ако се тунел опорави пре него што ишта прикупите, реците то. Неодређен узрок је бољи запис од самоуверене приче састављене од неповезаних редова.

Следећи корак увек има исти облик: један објекат, један прозор, једна фаза. Све шире је резиме, не дијагноза.