Katayuan ng Cloud VPN: basahin ang kalagayan ng resource bago ang IKE log

Ang isang Cloud VPN tunnel ay nagpapatakbo ng dalawang lifecycle nang sabay, at wala sila sa iisang orasan. Dapat munang ilaan at i-configure ang resource bago ito makipagnegosasyon, at pagkatapos ay may sariling pagkakasunod-sunod ng IKE na mensahe ang protocol. Ang isang status field ay maaaring mag-ulat ng una nang walang sinasabing kapaki-pakinabang tungkol sa pangalawa. Ang pagbasa sa kanila bilang isang bagay lang ang paraan kung paanong ang hindi pagtutugma ng key ay nasisisi sa pagkaantala ng provisioning.

Magsimula sa isang bagay ng tunnel at isang window ng oras.

Dalawang lifecycle, isang bagay ng tunnel

Ang lifecycle ng resource ay ang paghahanda ng provider sa tunnel: mga address, configuration, kapasidad. Nagsisimula ang lifecycle ng protocol kapag may sapat na configuration ang magkabilang panig para magpalitan ng IKE_SA_INIT, pagkatapos IKE_AUTH, pagkatapos mga child security association. Ang tunnel na nasa unang yugto pa lang ay hindi nabigo sa authentication, dahil hindi pa sinusubukan ang authentication.

Ang pagkakaibang iyon ang buong problema. Ang lahat ng iba pa ay tungkol sa kung paano ito mapapansin nang hindi pinagsasama ang walang kaugnayang mensahe.

Basahin ang bagay, hindi ang buod ng console

Hilingin sa API ang dalawang field na mahalaga at wala nang iba pa, upang manatiling sapat ang liit ng sagot para basahin sa alas-tres ng madaling-araw: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Pinangalanan ng field na status ang yugto ng lifecycle, at dinadala ng detailedStatus ang nababasang dahilan na nakaugnay dito. Ang buong dump ng configuration ay sumasagot sa ibang mga tanong at mas mahirap i-paste sa isang ticket. Ang mga ganitong read-only na tawag ay hindi mababago ang tunnel, na mahalaga habang buhay pa ang insidente.

Itala ang timestamp ng tawag sa tabi ng mga halaga, dahil gumagalaw ang dalawang field.

Ang ALLOCATING_RESOURCES ay hindi hindi pagtutugma ng key

Kapag nag-ulat ang tunnel ng ALLOCATING_RESOURCES, binubuo pa lang ng provider ang bagay. Ang hindi pagtutugma ng paunang ibinahaging key ay hindi mapapansin sa yugtong iyon, at ang naka-block na port ng peer ay hindi rin napatunayan. Ang mapapansin mo ay ang detalyadong mensahe, kung mukhang malusog ang proyekto at serbisyo, at kung sapat ang buo ng configuration ng tunnel para makontak man lang ang peer. Ang pagpapalit ng sekreto ngayon ay nagbabago ng halagang hindi kailanman sinubukan.

Hintayin na gumalaw ang kalagayan bago magbigay ng konklusyon tungkol sa configuration.

Ang ESTABLISHED ay simula ng mga pagsusuri sa access

Ang naitatag na tunnel ay nangangahulugang natapos ang IKE, hindi na dumadaloy ang trapiko. Tiyakin ang mga rutang dinadala ng tunnel at, kung saan may kinalaman ang Cloud Router, tiyakin ang BGP session at ang mga prefix na natutunan nito. Pagkatapos ay subukan ang pinapayagang palitan ng application, dahil ang isang firewall rule o nawawalang ruta ay maaaring humarang sa trapiko sa isang ganap na malusog na tunnel. Bawat isa sa mga iyon ay hiwalay na obserbasyon na may hiwalay na pagwawasto.

Sinasabi ng status kung aling tanong ang itatanong sa susunod. Hindi nito kailanman sinasagot ang tanong ng access para sa iyo.

Iugnay ang isang bagay at isang window ng oras

Ang lumang authentication failure sa log ay pag-aari ng naunang pagtatangka, maliban kung ang timestamp nito ay nahuhulog sa window na iniimbestigahan mo. Kunin ang mga log para sa resource ng tunnel para sa parehong mga minuto ng status na itinala mo, at panatilihing magkasama ang mga identifier. Ang isang mas huling kaganapan ng IKE ay maaaring magpakita na nagsimula na ang negosasyon habang ang mensahe ng console na tinititigan mo ay lipas na.

Kung bumabangon ang tunnel bago ka makakolekta ng kahit ano, sabihin ito. Ang hindi tiyak na dahilan ay mas mabuting tala kaysa sa isang kumpiyansang kuwento na binuo mula sa walang kaugnayang linya.

Ang susunod na hakbang ay laging may parehong hugis: isang bagay, isang window, isang yugto. Anumang mas malawak ay buod, hindi diagnosis.