Kontrola stanu konektora jest czerwona

VaultPAM uruchamia okresowe sondy stanu względem każdego konektora oraz hostów zasobów, które on obsługuje. Gdy wskaźnik stanu zmieni kolor na czerwony (lub pokaże status Degraded), niemal zawsze odpowiada za to jedna z czterech przyczyn. Utrata łączności sieciowej jest najczęstsza; niezgodności wersji są najrzadsze, ale łatwo je potwierdzić.

Objawy

• Wiersz konektora w sekcji Connectors pokazuje czerwony wskaźnik stanu lub status Degraded.
• Odznaka stanu na konkretnym sejfie pokazuje, że obsługujący go konektor jest w złej kondycji.
• Wyzwalane są alerty ControlPlaneTunnelHeartbeatTimeoutsHigh lub podobna metryka.
• Sesje uruchamiane przez konektor kończą się niepowodzeniem lub łączą się powoli.
• Stan konektora był do niedawna zielony i zmienił się na czerwony bez widocznej zmiany.

Co oznaczają stany kondycji

Status	Znaczenie
Online	Konektor i wszystkie sondowane hosty zasobów są osiągalne.
Degraded	Konektor jest osiągalny, ale co najmniej jedna sonda hosta zasobu kończy się niepowodzeniem.
Offline	Konektor nie jest osiągalny z poziomu warstwy sterowania (control plane).
Needs recovery	Konektor utracił swoją trwałą tożsamość i nie może ponownie połączyć się w zwykły sposób. Wewnętrzny stan runtime to needs_recovery; konektor nie wraca po cichu do oryginalnego tokenu bootstrap i pozostaje w trybie fail-closed, dopóki operator nie uruchomi kontrolowanego procesu odzyskiwania.

Czerwony wskaźnik stanu odpowiada statusowi Degraded (konektor działa, część hostów nie działa) lub Offline (sam konektor jest nieosiągalny).

Przyczyny

1. Utrata łączności sieciowej

Host konektora utracił wychodzącą ścieżkę do warstwy sterowania VaultPAM (port 443) lub zmiana polityki sieciowej zablokowała trasę.

Sprawdź: Z hosta konektora uruchom:

curl -v https://dev.euwarden.com/healthz

Jeśli to się nie powiedzie, konektor nie może dotrzeć do warstwy sterowania. Sprawdź również, czy sama maszyna konektora jest nadal osiągalna (ping, SSH lub RDP do niej).

Napraw: Przywróć wychodzącą ścieżkę sieciową. Potwierdź, że firewalle korporacyjne lub grupy zabezpieczeń w chmurze zezwalają na TCP 443 z hosta konektora do warstwy sterowania. Po przywróceniu łączności konektor połączy się ponownie automatycznie w ciągu 30 sekund — ręczny restart nie jest potrzebny.

2. Host zasobu nieosiągalny

Konektor sam w sobie może być sprawny, ale jeden lub więcej sondowanych przez niego hostów zasobów (celów zarejestrowanych w połączonych sejfach) stało się nieosiągalnych z sieci konektora. Powoduje to status Degraded, a nie Offline.

Sprawdź: Zidentyfikuj, który host zasobu został oznaczony. W sekcji Connectors → wybierz konektor → Health details możesz zobaczyć wyniki sond dla poszczególnych hostów. Z maszyny konektora przetestuj osiągalność dotkniętego celu:

nc -zv <target-host> <target-port>

Napraw: Przywróć trasę z maszyny konektora do hosta zasobu. Sonda odzyska sprawność w następnym cyklu kontroli stanu (zwykle co 60 sekund). Restart konektora nie jest potrzebny.

3. Przekroczenie czasu sondy

Sondy stanu mają konfigurowalny limit czasu. Jeśli host zasobu lub konektor odpowiada wolno — z powodu wysokiego obciążenia CPU, zawieszonej usługi lub przeciążonej ścieżki sieciowej — sonda może przekroczyć limit czasu, mimo że host jest technicznie osiągalny. Przerywane stany czerwone, które same się rozwiązują, często należą do tej kategorii.

Sprawdź: Otwórz Connectors → wybierz konektor → Health history. Jeśli stan kondycji przełącza się między czerwonym a zielonym bez interwencji, prawdopodobną przyczyną są przekroczenia czasu sond. Potwierdź, że host zasobu nie jest pod nietypowym obciążeniem.

Napraw: Jeśli limit czasu sondy jest konsekwentnie zbyt krótki w stosunku do normalnego czasu odpowiedzi hosta, poproś operatora VaultPAM o zwiększenie limitu czasu sondy w konfiguracji konektora. Jeśli host jest przeciążony, zajmij się problemem obciążenia w systemie docelowym.

4. Niezgodność wersji konektora

VaultPAM okresowo wydaje aktualizacje konektora. Jeśli konektor działa w wersji, która nie jest już wspierana, warstwa sterowania może przestać przyjmować jego raporty stanu lub oznaczyć go jako degraded do czasu zaktualizowania konektora.

Sprawdź: Otwórz Connectors → wybierz konektor → Details. Porównaj pole Version z najnowszą wspieraną wersją konektora wymienioną w sekcji System → Connector versions lub w informacjach o wydaniu VaultPAM.

Napraw: Zaktualizuj konektor do bieżącej wspieranej wersji. Procedura aktualizacji zależy od metody wdrożenia:

• Docker: pobierz najnowszy obraz i odtwórz kontener.
• Natywnie / VM: pobierz zaktualizowany plik binarny i zrestartuj usługę.
• Kubernetes: zaktualizuj tag obrazu w manifeście wdrożenia i zastosuj zmiany.

Po aktualizacji konektor sparuje się ponownie przy użyciu swojej istniejącej trwałej tożsamości — nowy token rejestracji nie jest potrzebny.

5. Needs recovery

Jeśli status to Needs recovery, konektor utracił swoją trwałą tożsamość i nie wyleczy się poprzez zwykłe przyczyny czerwonego stanu opisane powyżej.

Sprawdź: Otwórz Connectors i potwierdź, że status to Needs recovery, a nie Degraded lub Offline.

Napraw: Postępuj zgodnie z artykułem Mój konektor jest offline i skorzystaj z gałęzi odzyskiwania z asystą. Nie powtarzaj w kółko zwykłych kroków odzyskiwania stanu opisanych w tym artykule.

Kroki rozwiązania

1. Otwórz Connectors → wybierz konektor i zanotuj, czy status to Degraded (konektor działa, hosty nie działają), Offline (konektor nieosiągalny) czy Needs recovery. Jeśli to Needs recovery, zatrzymaj się tutaj i postępuj zgodnie z artykułem Mój konektor jest offline.
2. Jeśli Offline: z hosta konektora uruchom curl -v https://dev.euwarden.com/healthz. Jeśli się nie powiedzie, przywróć wychodzącą ścieżkę sieciową do warstwy sterowania.
3. Jeśli Degraded: sprawdź, które sondy hostów zasobów kończą się niepowodzeniem w sekcji Connectors → wybierz konektor → Health details. Z maszyny konektora uruchom nc -zv <target-host> <target-port> dla każdego niedziałającego hosta i przywróć łączność.
4. Jeśli status przełącza się okresowo bez interwencji, sprawdź przekroczenia czasu sond oraz obciążenie hosta zasobu.
5. Porównaj wersję konektora ze wspieraną wersją. Zaktualizuj, jeśli jest nieaktualna.
6. Po każdej naprawie odczekaj 60–90 sekund i odśwież stronę Connectors. Wskaźnik stanu aktualizuje się automatycznie w następnym cyklu sond.

Ścieżka eskalacji

Jeśli kontrola stanu pozostaje czerwona po przepracowaniu wszystkich czterech przyczyn:

1. Zanotuj nazwę konektora, bieżący status oraz czas, w którym zmienił się stan kondycji.
2. Zbierz logi konektora (ostatnie 200 wierszy):
   • Docker: docker logs -n 200 vaultpam-connector
   • systemd: journalctl -u vaultpam-connector -n 200
3. Dołącz wynik polecenia curl -v https://dev.euwarden.com/healthz z hosta konektora.
4. Otwórz zgłoszenie do wsparcia, zawierające: nazwę konektora, status, wynik logów oraz wyniki testów łączności sieciowej.

Powiązane artykuły

• Mój konektor jest offline
• Moja sesja SSH nie uruchamia się
• Moja sesja RDP nieoczekiwanie się rozłącza