Zum Hauptinhalt springen

Connector-Gesundheitsprüfung ist rot

VaultPAM führt regelmäßige Gesundheits-Probes gegen jeden Connector und die von ihm bedienten Ressourcen-Hosts aus. Wenn der Gesundheitsindikator rot wird (oder Beeinträchtigt anzeigt), ist fast immer eine von vier Ursachen verantwortlich. Der Verlust der Netzwerkkonnektivität ist die häufigste Ursache; Versionskonflikte sind am seltensten, lassen sich aber leicht bestätigen.

Symptome​

  • Die Connector-Zeile unter Connectors zeigt einen roten Gesundheitsindikator oder den Status Beeinträchtigt an.
  • Ein Gesundheits-Badge an einem bestimmten Safe zeigt an, dass der ihn bedienende Connector fehlerhaft ist.
  • Es werden Alarme für ControlPlaneTunnelHeartbeatTimeoutsHigh oder eine ähnliche Metrik ausgelöst.
  • Über den Connector gestartete Sitzungen schlagen fehl oder bauen die Verbindung nur langsam auf.
  • Die Connector-Gesundheit war kürzlich grün und wurde ohne ersichtliche Änderung rot.

Was die Gesundheitszustände bedeuten​

StatusBedeutung
OnlineDer Connector und alle geprüften Ressourcen-Hosts sind erreichbar.
BeeinträchtigtDer Connector ist erreichbar, aber mindestens ein Ressourcen-Host-Probe schlägt fehl.
OfflineDer Connector ist von der Steuerungsebene aus nicht erreichbar.
Wiederherstellung erforderlichDer Connector hat seine dauerhafte Identität verloren und kann sich nicht normal erneut verbinden. Der interne Laufzeitstatus ist needs_recovery; der Connector fällt nicht stillschweigend auf das ursprüngliche Bootstrap-Token zurück und verweigert den Betrieb (fail-closed), bis ein Operator den kontrollierten Wiederherstellungsablauf startet.

Ein roter Gesundheitsindikator entspricht Beeinträchtigt (Connector aktiv, einige Hosts ausgefallen) oder Offline (Connector selbst nicht erreichbar).

Ursachen​

1. Verlust der Netzwerkkonnektivität​

Der Connector-Host hat seinen ausgehenden Pfad zur VaultPAM-Steuerungsebene (Port 443) verloren, oder eine Änderung der Netzwerkrichtlinie hat die Route blockiert.

Prüfung: Führen Sie auf dem Connector-Host Folgendes aus:

curl -v https://dev.euwarden.com/healthz

Wenn dies fehlschlägt, kann der Connector die Steuerungsebene nicht erreichen. Prüfen Sie außerdem, ob die Connector-Maschine selbst noch erreichbar ist (Ping, SSH oder RDP darauf).

Behebung: Stellen Sie den ausgehenden Netzwerkpfad wieder her. Vergewissern Sie sich, dass Unternehmens-Firewalls oder Cloud-Sicherheitsgruppen TCP 443 vom Connector-Host zur Steuerungsebene zulassen. Nach Wiederherstellung der Konnektivität verbindet sich der Connector innerhalb von 30 Sekunden automatisch erneut — ein manueller Neustart ist nicht erforderlich.

2. Ressourcen-Host nicht erreichbar​

Der Connector selbst kann fehlerfrei sein, aber einer oder mehrere von ihm geprüfte Ressourcen-Hosts (die in den verbundenen Safes registrierten Ziele) sind aus dem Connector-Netzwerk heraus nicht mehr erreichbar geworden. Dies führt zum Status Beeinträchtigt statt Offline.

Prüfung: Identifizieren Sie, welcher Ressourcen-Host markiert ist. Unter Connectors → Connector auswählen → Gesundheitsdetails sehen Sie möglicherweise Probe-Ergebnisse pro Host. Testen Sie von der Connector-Maschine aus die Erreichbarkeit des betroffenen Ziels:

nc -zv <target-host> <target-port>

Behebung: Stellen Sie die Route von der Connector-Maschine zum Ressourcen-Host wieder her. Der Probe erholt sich im nächsten Gesundheitsprüfungszyklus (typischerweise alle 60 Sekunden). Ein Neustart des Connectors ist nicht erforderlich.

3. Probe-Timeout​

Gesundheits-Probes haben ein konfigurierbares Timeout. Wenn der Ressourcen-Host oder Connector langsam antwortet — aufgrund hoher CPU-Last, eines hängenden Dienstes oder eines überlasteten Netzwerkpfads — kann der Probe ablaufen, obwohl der Host technisch erreichbar ist. Intermittierende rote Zustände, die sich von selbst auflösen, fallen häufig in diese Kategorie.

Prüfung: Öffnen Sie Connectors → Connector auswählen → Gesundheitsverlauf. Wenn der Gesundheitszustand ohne Eingriff zwischen rot und grün wechselt, sind Probe-Timeouts die wahrscheinliche Ursache. Vergewissern Sie sich, dass der Ressourcen-Host nicht unter ungewöhnlicher Last steht.

Behebung: Wenn das Probe-Timeout für die normale Antwortzeit des Hosts durchgängig zu kurz ist, bitten Sie einen VaultPAM-Operator, das Probe-Timeout in der Connector-Konfiguration zu erhöhen. Wenn der Host überlastet ist, beheben Sie das Lastproblem auf dem Zielsystem.

4. Connector-Versionskonflikt​

VaultPAM veröffentlicht regelmäßig Connector-Updates. Wenn ein Connector eine Version ausführt, die nicht mehr unterstützt wird, kann die Steuerungsebene seine Gesundheitsberichte nicht mehr akzeptieren oder ihn als beeinträchtigt markieren, bis der Connector aktualisiert wird.

Prüfung: Öffnen Sie Connectors → Connector auswählen → Details. Vergleichen Sie das Feld Version mit der neuesten unterstützten Connector-Version, die unter System → Connector-Versionen oder in den VaultPAM-Versionshinweisen aufgeführt ist.

Behebung: Aktualisieren Sie den Connector auf die aktuell unterstützte Version. Das Update-Verfahren hängt von der Bereitstellungsmethode ab:

  • Docker: Ziehen Sie das neueste Image und erstellen Sie den Container neu.
  • Nativ / VM: Laden Sie die aktualisierte Binärdatei herunter und starten Sie den Dienst neu.
  • Kubernetes: Aktualisieren Sie das Image-Tag im Deployment-Manifest und wenden Sie es an.

Nach dem Update koppelt sich der Connector mithilfe seiner bestehenden dauerhaften Identität erneut — es ist kein neues Registrierungstoken erforderlich.

5. Wiederherstellung erforderlich​

Wenn der Status Wiederherstellung erforderlich lautet, hat der Connector seine dauerhafte Identität verloren und lässt sich nicht über die obigen normalen Ursachen für roten Gesundheitsstatus beheben.

Prüfung: Öffnen Sie Connectors und bestätigen Sie, dass der Status Wiederherstellung erforderlich lautet und nicht Beeinträchtigt oder Offline.

Behebung: Folgen Sie Mein Connector ist offline und verwenden Sie den geführten Wiederherstellungszweig. Wiederholen Sie nicht weiter die normalen Schritte zur Gesundheitswiederherstellung aus diesem Artikel.

Lösungsschritte​

  1. Öffnen Sie Connectors → Connector auswählen und notieren Sie, ob der Status Beeinträchtigt (Connector aktiv, Hosts ausgefallen), Offline (Connector nicht erreichbar) oder Wiederherstellung erforderlich lautet. Wenn er Wiederherstellung erforderlich lautet, hören Sie hier auf und folgen Sie Mein Connector ist offline.
  2. Bei Offline: Führen Sie auf dem Connector-Host curl -v https://dev.euwarden.com/healthz aus. Wenn es fehlschlägt, stellen Sie den ausgehenden Netzwerkpfad zur Steuerungsebene wieder her.
  3. Bei Beeinträchtigt: Prüfen Sie unter Connectors → Connector auswählen → Gesundheitsdetails, welche Ressourcen-Host-Probes fehlschlagen. Führen Sie von der Connector-Maschine aus nc -zv <target-host> <target-port> für jeden fehlschlagenden Host aus und stellen Sie die Konnektivität wieder her.
  4. Wenn der Status ohne Eingriff intermittierend wechselt, prüfen Sie auf Probe-Timeouts und die Last des Ressourcen-Hosts.
  5. Vergleichen Sie die Connector-Version mit der unterstützten Version. Aktualisieren Sie sie, falls veraltet.
  6. Warten Sie nach jeder Behebung 60–90 Sekunden und aktualisieren Sie die Seite Connectors. Der Gesundheitsindikator wird im nächsten Probe-Zyklus automatisch aktualisiert.

Eskalationspfad​

Wenn die Gesundheitsprüfung nach dem Durcharbeiten aller vier Ursachen weiterhin rot bleibt:

  1. Notieren Sie den Connector-Namen, den aktuellen Status und den Zeitpunkt, zu dem sich der Gesundheitszustand geändert hat.
  2. Sammeln Sie die Connector-Protokolle (letzte 200 Zeilen):
    • Docker: docker logs -n 200 vaultpam-connector
    • systemd: journalctl -u vaultpam-connector -n 200
  3. Fügen Sie die Ausgabe von curl -v https://dev.euwarden.com/healthz vom Connector-Host bei.
  4. Eröffnen Sie ein Support-Ticket mit: Connector-Name, Status, Protokollausgabe und Ergebnissen des Netzwerkkonnektivitätstests.

Verwandte Artikel​

Zuletzt aktualisiert am
Report an issue with this page