Connector health check is rood
VaultPAM voert periodieke health probes uit tegen elke connector en de resource hosts die deze bedient. Wanneer de health indicator rood wordt (of de status Degraded toont), is bijna altijd één van vier oorzaken verantwoordelijk. Verlies van netwerkconnectiviteit is het meest voorkomend; versie-incompatibiliteiten zijn het minst voorkomend maar zijn gemakkelijk te bevestigen.
Symptomen
- De connector rij in Connectors toont een rood health indicator of de status Degraded.
- Een health badge op een specifieke Safe toont dat de connector die deze bedient ongezond is.
- Waarschuwingen treden op voor
ControlPlaneTunnelHeartbeatTimeoutsHighof een soortlijke metriek. - Sessies die via de connector worden gestart, mislukken of zijn traag bij het verbinden.
- De connector health was onlangs groen en werd rood zonder een schijnbare wijziging.
Wat de health toestanden betekenen
| Status | Betekenis |
|---|---|
| Online | De connector en alle geprobeeerde resource hosts zijn bereikbaar. |
| Degraded | De connector is bereikbaar maar minstens één resource host probe mislukt. |
| Offline | De connector is niet bereikbaar vanuit het control plane. |
| Needs recovery | De connector heeft zijn durable identity verloren en kan niet normaal opnieuw verbinden. De interne runtime state is needs_recovery; de connector valt niet automatisch terug op het originele bootstrap token en faalt gesloten totdat een operator de controlled recovery flow start. |
Een rood health indicator komt overeen met Degraded (connector actief, enkele hosts inactief) of Offline (connector zelf niet bereikbaar).
Oorzaken
1. Verlies van netwerkconnectiviteit
De connector host heeft zijn uitgaande pad naar het VaultPAM control plane (poort 443) verloren, of een networkbeleidswijziging heeft de route geblokkeerd.
Controleren: Voer vanuit de connector host het volgende uit:
curl -v https://dev.euwarden.com/healthz
Als dit mislukt, kan de connector het control plane niet bereiken. Controleer ook of de connector machine zelf nog steeds bereikbaar is (ping, SSH, of RDP ernaar toe).
Oplossing: Zet het uitgaande netwerkpad terug. Bevestig dat bedrijfsfirewalls of cloud security groups TCP 443 toestaan van de connector host naar het control plane. Na het herstellen van connectiviteit zal de connector automatisch opnieuw verbinden binnen 30 seconden — geen handmatige herstart is nodig.
2. Resource host niet bereikbaar
De connector kan zelf gezond zijn maar één of meer resource hosts die deze probeert (de doelen die zijn geregistreerd in de verbonden Safes) zijn niet bereikbaar vanuit het connector netwerk. Dit levert een Degraded status op in plaats van Offline.
Controleren: Identificeer welke resource host is gemarkeerd. In Connectors → selecteer connector → Health details, kunt u mogelijk per-host probe resultaten zien. Voer vanuit de connector machine reikbaarheidstests uit naar het betreffende doel:
nc -zv <target-host> <target-port>
Oplossing: Zet de route van de connector machine naar de resource host terug. De probe zal herstellen op de volgende health check cycle (meestal elke 60 seconden). Geen connector herstart is nodig.
3. Probe timeout
Health probes hebben een configureerbare timeout. Als de resource host of connector traag reageert — vanwege hoog CPU-gebruik, een hung service, of een overbelast netwerkpad — kan de probe timeout optreden hoewel de host technisch bereikbaar is. Intermittente rode toestanden die zelf herstellen vallen vaak in deze categorie.
Controleren: Open Connectors → selecteer connector → Health history. Als de health state tussen rood en groen wisselt zonder tussenkomst, zijn probe timeouts waarschijnlijk de oorzaak. Bevestig dat de resource host niet onder ongebruikelijke belasting staat.
Oplossing: Als de probe timeout consistent te kort is voor de normale responstijd van de host, vraag een VaultPAM operator om de probe timeout in de connector configuratie te verhogen. Als de host overbelast is, los het load issue op het doelsysteem op.
4. Connector versie-incompatibiliteit
VaultPAM geeft periodiek connector updates vrij. Als een connector een versie uitvoert die niet langer wordt ondersteund, kan het control plane haar health reports niet meer accepteren of deze als degraded markeren totdat de connector is bijgewerkt.
Controleren: Open Connectors → selecteer connector → Details. Vergelijk het Version veld met de meest recente ondersteunde connector versie vermeld in System → Connector versions of de VaultPAM release notes.
Oplossing: Update de connector naar de huidige ondersteunde versie. De updateprocedure is afhankelijk van de deployment methode:
- Docker: pull de meest recente afbeelding en maak de container opnieuw aan.
- Native / VM: download het bijgewerkte binary en herstart de service.
- Kubernetes: update de image tag in het deployment manifest en pas toe.
Na de update zal de connector opnieuw koppelen met behulp van zijn bestaande durable identity — er is geen nieuw enrollment token nodig.
5. Needs recovery
Als de status Needs recovery is, heeft de connector zijn durable identity verloren en zal niet herstellen via de normale rood-health oorzaken hierboven.
Controleren: Open Connectors en bevestig dat de status Needs recovery is in plaats van Degraded of Offline.
Oplossing: Volg My connector is offline en gebruik de guided-recovery branch. Probeer niet de gewone health-recovery stappen in dit artikel opnieuw uit te voeren.
Resolutiestappen
- Open Connectors → selecteer connector en noteer of de status Degraded (connector actief, hosts inactief), Offline (connector niet bereikbaar), of Needs recovery is. Indien Needs recovery, stop hier en volg My connector is offline.
- Indien Offline: voer vanuit de connector host
curl -v https://dev.euwarden.com/healthzuit. Indien dit mislukt, zet het uitgaande netwerkpad naar het control plane terug. - Indien Degraded: controleer welke resource host probes mislukken in Connectors → selecteer connector → Health details. Voer vanuit de connector machine
nc -zv <target-host> <target-port>uit voor elke falende host en zet connectiviteit terug. - Als de status zonder tussenkomst intermitterend wisselt, controleer op probe timeouts en resource host load.
- Vergelijk de connector versie met de ondersteunde versie. Update indien verouderd.
- Na enige fix wacht u 60–90 seconden en vernieuwt de Connectors pagina. De health indicator werkt automatisch bij op de volgende probe cycle.
Escalatie pad
Als de health check rood blijft na het doorwerken van alle vier oorzaken:
- Noteer de connector naam, huidige status, en het moment waarop de health state veranderde.
- Verzamel de connector logs (laatste 200 regels):
- Docker:
docker logs -n 200 vaultpam-connector - systemd:
journalctl -u vaultpam-connector -n 200
- Docker:
- Voeg de uitvoer van
curl -v https://dev.euwarden.com/healthzuit de connector host toe. - Open een support ticket met: connector naam, status, log uitvoer, en netwerkconnectiviteit test resultaten.