Cloud VPN holati: IKE jurnaligacha resurs holatini o‘qing

Cloud VPN tunneli bir vaqtda ikkita hayot tsiklini yuritadi va ular bir soatda emas. Resurs avval ajratilishi va sozlanishi kerak, shundan keyingina u muzokara qila oladi, keyin esa protokolning o‘z IKE xabarlari tartibi bor. Holat maydoni birinchisi haqida xabar berib, ikkinchisi haqida foydali hech narsa aytmasligi mumkin. Ikkalasini bitta narsa sifatida o‘qish kalit nomuvofiqligiga ta’minot kechikishi aybi yuklanishining yo‘lidir.

Bitta tunnel obyekti va bitta vaqt oynasidan boshlang.

Ikki hayot tsikli, bitta tunnel obyekti

Resursning hayot tsikli — provayder tunnelni tayyorlashi: manzillar, konfiguratsiya, sig‘im. Protokolning hayot tsikli ikkala tomon IKE_SA_INIT, so‘ng IKE_AUTH, so‘ng bola xavfsizlik assotsiatsiyalarini almashish uchun yetarli konfiguratsiyaga ega bo‘lganda boshlanadi. Hali birinchi fazada turgan tunnel autentifikatsiyada muvaffaqiyatsiz bo‘lmagan, chunki autentifikatsiya hali sinab ko‘rilmagan.

Ana shu farq butun muammo. Qolgan hamma narsa aloqasiz xabarlarni birlashtirmasdan uni qanday kuzatish haqida.

Obyektni o‘qing, konsol xulosasini emas

API‘dan faqat muhim bo‘lgan ikkita maydonni so‘rang, boshqa hech narsani emas, shunda javob tungi soat uchda o‘qish uchun yetarlicha kichik qoladi: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". status maydoni hayot tsikli bosqichini nomlaydi, detailedStatus esa unga bog‘langan o‘qiladigan sababni olib yuradi. To‘liq konfiguratsiya dumpi boshqa savollarga javob beradi va uni bilettga yopishtirish qiyinroq. Bunday faqat o‘qish uchun chaqiruvlar tunnelni o‘zgartira olmaydi, bu esa hodisa hali faol bo‘lganda muhim.

Chaqiruvning vaqt belgisini qiymatlar yoniga yozib qo‘ying, chunki ikkala maydon ham harakatlanadi.

ALLOCATING_RESOURCES kalit nomuvofiqligi emas

Tunnel ALLOCATING_RESOURCES deb xabar berganida, provayder hali obyektni yig‘moqda. Oldindan bo‘lishilgan kalit nomuvofiqligini o‘sha bosqichda kuzatib bo‘lmaydi, bloklangan peer porti ham xuddi shunday isbotlanmagan. Tekshirish mumkin bo‘lgan narsa — batafsil xabar, loyiha va xizmat sog‘lom ko‘rinadimi va tunnel konfiguratsiyasi peer bilan umuman bog‘lanish uchun yetarlicha to‘liqmi. Sirni hozir almashtirish hech qachon sinalmagan qiymatni o‘zgartiradi.

Konfiguratsiya haqida xulosa chiqarishdan oldin holat o‘zgarishini kuting.

ESTABLISHED — kirish tekshiruvlarining boshlanishi

O‘rnatilgan tunnel IKE tugaganini bildiradi, trafik oqayotganini emas. Tunnel olib yuradigan marshrutlarni tasdiqlang va Cloud Router ishtirok etgan joyda BGP sessiyasi hamda u o‘rgangan prefikslarni tasdiqlang. So‘ngra ruxsat etilgan ilova almashinuvini sinab ko‘ring, chunki xavfsizlik devori qoidasi yoki yo‘q marshrut butunlay sog‘lom tunnel orqali trafikni to‘sib qo‘yishi mumkin. Ularning har biri alohida kuzatuv va alohida tuzatishdir.

Holat keyingi qaysi savolni berishni aytadi. U hech qachon sizning o‘rningizga kirish savoliga javob bermaydi.

Bitta obyekt va bitta vaqt oynasini bog‘lang

Jurnalda eski autentifikatsiya xatosi avvalgi urinishga tegishli, agar uning vaqt belgisi siz tekshirayotgan oynaga tushmasa. Tunnel resursining jurnallarini qayd etilgan holat bilan bir xil daqiqalar uchun tortib oling va identifikatorlarni birga saqlang. Keyingi IKE hodisasi muzokara boshlanganini ko‘rsatishi mumkin, siz tikilib turgan konsol xabari esa allaqachon eskirgan.

Agar tunnel biror narsa to‘plashdan oldin tiklanib qolsa, shuni ayting. Aniqlanmagan sabab aloqasiz satrlardan yig‘ilgan ishonchli hikoyadan yaxshiroq yozuv.

Keyingi qadam doim bir shaklda: bitta obyekt, bitta oyna, bitta bosqich. Bundan kengroq narsa xulosa, tashxis emas.