Cloud VPN durumu: IKE günlüğünden önce kaynağın durumunu okuyun

Bir Cloud VPN tüneli aynı anda iki yaşam döngüsü çalıştırır ve bunlar aynı saatte değildir. Kaynağın önce tahsis edilip yapılandırılması gerekir, ancak ondan sonra pazarlık yapabilir; ardından protokolün kendi IKE mesaj sırası vardır. Bir durum alanı birincisini bildirirken ikincisi hakkında yararlı hiçbir şey söylemeyebilir. İkisini tek bir şey olarak okumak, anahtar uyuşmazlığının sağlama gecikmesinin suçunu üstlenmesinin yoludur.

Tek bir tünel nesnesi ve tek bir zaman aralığıyla başlayın.

İki yaşam döngüsü, tek tünel nesnesi

Kaynağın yaşam döngüsü, sağlayıcının tüneli hazırlamasıdır: adresler, yapılandırma, kapasite. Protokolün yaşam döngüsü, her iki taraf da IKE_SA_INIT, ardından IKE_AUTH ve ardından alt güvenlik ilişkilerini değiştirmek için yeterli yapılandırmaya sahip olduğunda başlar. Hâlâ ilk aşamada olan bir tünel kimlik doğrulamada başarısız olmadı, çünkü kimlik doğrulama henüz denenmedi.

Bu ayrım sorunun tamamıdır. Geri kalan her şey, ilgisiz mesajları birleştirmeden bunu nasıl gözlemleyeceğinizle ilgilidir.

Nesneyi okuyun, konsol özetini değil

API'den yalnızca önemli olan iki alanı isteyin, başka bir şey istemeyin; böylece yanıt gece üçte okunabilecek kadar küçük kalır: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status alanı yaşam döngüsünün aşamasını adlandırır ve detailedStatus ona bağlı okunabilir nedeni taşır. Tam bir yapılandırma dökümü başka soruları yanıtlar ve bir bilete yapıştırması daha zordur. Bunun gibi salt okunur çağrılar tüneli değiştiremez; olay hâlâ sürerken bu önemlidir.

Çağrının zaman damgasını değerlerin yanına not edin, çünkü her iki alan da hareket eder.

ALLOCATING_RESOURCES bir anahtar uyuşmazlığı değildir

Tünel ALLOCATING_RESOURCES bildirdiğinde sağlayıcı nesneyi hâlâ bir araya getiriyordur. Önceden paylaşılan anahtarın uyuşmazlığı o aşamada gözlemlenemez ve engellenen eş portu da aynı ölçüde kanıtlanmamıştır. Kontrol edebileceğiniz şey ayrıntılı mesaj, projenin ve hizmetin sağlıklı görünüp görünmediği ve tünel yapılandırmasının eşle hiç iletişim kurulabilecek kadar eksiksiz olup olmadığıdır. Sırrı şimdi değiştirmek hiç test edilmemiş bir değeri değiştirir.

Yapılandırma hakkında bir sonuca varmadan önce durumun hareket etmesini bekleyin.

ESTABLISHED erişim kontrollerinin başlangıcıdır

Kurulmuş bir tünel IKE'nin tamamlandığı anlamına gelir, trafiğin aktığı değil. Tünelin taşıdığı yolları doğrulayın ve Cloud Router'ın devrede olduğu yerde BGP oturumunu ve öğrendiği önekleri doğrulayın. Ardından izin verilen bir uygulama alışverişini test edin, çünkü bir güvenlik duvarı kuralı veya eksik bir yol, tamamen sağlıklı bir tünel üzerinden trafiği engelleyebilir. Bunların her biri ayrı bir gözlem ve ayrı bir düzeltmedir.

Durum size sırada hangi soruyu sormanız gerektiğini söyler. Erişim sorusunu asla sizin yerinize yanıtlamaz.

Tek bir nesneyi ve tek bir zaman aralığını ilişkilendirin

Günlükteki eski bir kimlik doğrulama hatası, zaman damgası incelediğiniz aralığa düşmedikçe önceki bir denemeye aittir. Kaydedilen durumla aynı dakikalar için tünel kaynağının günlüklerini çekin ve tanımlayıcıları bir arada tutun. Daha sonraki bir IKE olayı pazarlığın başladığını gösterebilir, oysa baktığınız konsol mesajı çoktan eskimiştir.

Tünel siz bir şey toplamadan önce toparlanırsa bunu söyleyin. Belirsiz bir neden, ilgisiz satırlardan derlenmiş kendinden emin bir hikâyeden daha iyi bir kayıttır.

Sonraki adım her zaman aynı biçimdedir: tek nesne, tek aralık, tek aşama. Bundan daha geniş olan her şey bir özettir, tanı değil.