Canlı bir tünelde AWS VPN tünel günlüklerini etkinleştirmeli misiniz?

Site-to-Site VPN için tünel etkinlik günlüklerini açmak, ölçtüğü tüneli düşürebilecek küçük bir değişikliktir. AWS, mevcut bir tünelde günlük kaydını etkinleştirmenin tüneli birkaç dakika kesintiye uğratabileceği konusunda uyarır; bu yüzden ilginç soru bayrağı nasıl çevireceğiniz değil, hangi tünelde ve ne zaman çevireceğinizdir. Sırayı üç koşul belirler: diğer tünel rotaları gerçekten taşıyor mu, hizmet olayları mı yoksa BGP olayları mı gerekiyor, ve değişiklik konsoldan mı yoksa tünel seçenekleri API'sinden mi geçiyor. Bunları yanlış yaparsanız ya kesintiyle ya da hiçbir şeyle dolu bir günlük grubuyla kalırsınız.

Sırayı üç koşul belirler

Değiştirdiğiniz şeyin kimliğinden başlayın. VPN bağlantı ID'sine, Bölgeye ve belirli tünelin dış IP adresine ihtiyacınız var, çünkü bu özellikteki her günlük ayarı bağlantı başına değil tünel başınadır. Yanlış dış adrese uygulanan değişiklik, kimsenin hata ayıklamadığı bir tünelde yapılan değişikliktir.

Hedef, aynı Bölgede gerçekten istediğiniz saklama ve erişim ilkesine sahip bir CloudWatch günlük grubudur. AWS bu gruplar için /aws/vendedlogs/ önekini önerir, çünkü sıradan adların çarpışabileceği kaynak ilkesi boyut sınırlarından kaçınır. /aws/vendedlogs/vpn/branch-a-activity gibi bir ad yalnızca örnektir; önemli olan grubun var olması, teslimat rolünün ona yazabilmesi ve her ikisinin de VPN yapılandırmasının sahibi tarafından yönetilmesidir. Ad izin vermez ve teslimat ilkesi olmadan oluşturulan bir grup hata yerine sessizlik üretir.

Birinci koşul: trafiği gerçekten taşıyan yedek bir tünel

Bu, ekiplerin atladığı koşuldur. Yapılandırılmış iki tünel, uygulamanın kullanılabilir bir alternatif yolu olduğunun kanıtı değildir.

Bir tünele dokunmadan önce diğerinin önemli rotaları taşıdığını doğrulayın: müşteri geçidinin tarafındaki yönlendirme tablosunu kontrol edin ve uygulamanın gerçekten geçiş yapabildiğini doğrulayın. AWS'nin kesinti penceresi saniye değil dakika cinsindendir ve yalnızca kâğıt üzerinde var olan bir tünel, tanılama değişikliğini kesintiye dönüştürür. Yedek yol kanıtlanmamışsa, günlük kaydını pasif saymak yerine değişikliği diğer herhangi bir yönlendirme değişikliğiyle aynı özenle planlayın. Davranışını açıklamaya çalıştığınız tüneli ölçün, ulaşılması daha kolay olanı değil.

İkinci koşul: etkinlik günlüğü mü BGP günlüğü mü

Bu, gerçekte neyi okuyabileceğinizi belirler. Etkinlik kayıtları IKE ve IPsec durum geçişleri ile DPD iletileri gibi hizmet olaylarını kapsar; tünel ayağa kalkmadığında veya sürekli anahtar yenilediğinde istediğiniz budur. BGP kayıtları kendi kontrolleri olan ayrı bir akıştır ve başka bir soruyu yanıtlar: rotalar beklendiği gibi değiş tokuş edildi ve geri çekildi mi.

Etkinlik bayrağını etkinleştirmek, hizmetin yayabileceği her akış için bir istek değildir. Şüphe yönlendirmedeyse ikisini de etkinleştirin; şüphe 1. veya 2. faz görüşmesindeyse bunu etkinlik akışı gösterir.

İki akışın hiçbiri paket yakalama değildir ve bu ayrım hak ettiğinden fazla bilet çözer. Etkinlik ve BGP kayıtları hizmetin tünel ve oturumla ne yaptığını söyler, uygulamanızın bunun üzerinden ne gönderdiğini değil. Bir uygulama zaman aşımında hata ayıklamak için tünel günlüklerine uzanmak bir kategori hatasıdır ve genellikle kimse fark etmeden önce bir kesinti penceresine mal olur. Önce soruyu seçin, sonra onu yanıtlayabilecek akışı.

Üçüncü koşul: konsoldan değişiklik mi tünel seçenekleri API'si mi

Bir insan tek seferlik bir değişiklik yapıyorsa konsol yolu uygundur: VPC console, Site-to-Site VPN connections, bağlantıyı seçin, Actions, Modify VPN tunnel options, dış IP'yi seçin, Tunnel activity log'u etkinleştirin, grubu ve çıktı biçimini seçin, pencere içinde kaydedin. VPN kod olarak yönetiliyorsa aynı tıklama daha sonra uzlaştıracağınız bir sapmadır.

Otomasyon için tünel seçeneklerinin etkinlik günlüğü bölümü sabit bir biçime sahiptir: LogOptions, CloudWatchLogOptions içerir ve beraberinde LogEnabled, LogGroupArn ve LogOutputFormat bulunur. Bu blok bir parçadır, istek değildir; modify-vpn-tunnel-options hâlâ bağlantı ID'sine ve tünelin dış IP'sine ihtiyaç duyar ve kalan tünel ayarlarını şablonun sahibi korumalıdır. BGP günlüğü aynı yapıda kendi BgpLogEnabled, BgpLogGroupArn ve BgpLogOutputFormat anahtarlarını kullanır. Çağrının uygulandığına güvenmek yerine değişikliği describe-vpn-connections ile geri okuyun.

Kayıtların size ne söyleyebileceği ve ne söyleyemeyeceği

İlk tünel bittiğinde ve amaçlanan yol kullanılabilir olduğunda, ikinci tünelin günlüklerine de ihtiyacınız varsa aynı kontrollü sırayı tekrarlayın. Aynı anda tek tünel işin bütünüdür.

Kayıtlar bağlantı ve tünelin dış adresiyle tanımlanan akışlarda gelir, bu yüzden geçmişin geriye dönük görüneceğini beklemek yerine o kimlikle ilişkilendirin. Değişiklikten önce hiçbir şey yoktur ve ne kadar beklerseniz bekleyin boşluk dolmaz. Bir temel çizgiye ihtiyacınız varsa, karşılaştıracak bir şey olsun diye değişiklikten önce mevcut tünel durumunu ve yönlendirme tablosunu kaydedin.

Günlük grubunu, saklamasını, teslimat izinlerini ve tünel seçenekleri bloğunu VPN'in kendisiyle aynı envanterde tutun, çünkü bunlar dört yere yayılmış tek bir yapılandırmadır. AWS'nin günlükleri etkinleştirme yordamı tünel başına iş akışını ve kesinti uyarısını belgeler; değişiklikten sonra değil önce okumaya değer. Ardından sırayla doğrulayın: tünel geri geldi, kayıtlar beklenen akışta görünüyor ve kayıtlar bileti açmanıza neden olan soruyu yanıtlıyor. Üçüncüsü başarısız olursa sorun günlük kaydı değil akış seçimidir.