Il controllo dello stato del Connector è rosso
VaultPAM esegue periodicamente sonde di controllo dello stato su ogni Connector e sugli host di risorse che serve. Quando l'indicatore di stato diventa rosso (o mostra Degraded), una delle quattro cause ne è quasi sempre responsabile. La perdita di connettività di rete è la causa più comune; le mancate corrispondenze di versione sono le meno comuni ma sono facili da confermare.
Sintomi
- La riga del Connector in Connectors mostra un indicatore di stato rosso o lo stato Degraded.
- Un badge di stato su un Safe specifico mostra che il Connector che lo serve non è integro.
- Gli avvisi si attivano per
ControlPlaneTunnelHeartbeatTimeoutsHigho una metrica simile. - Le sessioni avviate tramite il Connector si bloccano o sono lente a connettersi.
- Lo stato di controllo del Connector era verde di recente e è diventato rosso senza un apparente cambiamento.
Significato degli stati di controllo
| Stato | Significato |
|---|---|
| Online | Il Connector e tutti gli host di risorse sottoposti a sondaggio sono raggiungibili. |
| Degraded | Il Connector è raggiungibile ma almeno un sondaggio su un host di risorse sta fallendo. |
| Offline | Il Connector non è raggiungibile dal piano di controllo. |
| Needs recovery | Il Connector ha perso la sua identità duratura e non può riconnettersi normalmente. Lo stato interno del runtime è needs_recovery; il Connector non ricade silenziosamente al token di bootstrap originale e fallisce in modo chiuso fino a quando un operatore non avvia il flusso di ripristino controllato. |
Un indicatore di stato rosso corrisponde a Degraded (Connector attivo, alcuni host inattivi) o Offline (Connector stesso non raggiungibile).
Cause
1. Perdita di connettività di rete
L'host del Connector ha perso il suo percorso in uscita verso il piano di controllo VaultPAM (porta 443) o un cambio di policy di rete ha bloccato il percorso.
Controllo: Dall'host del Connector, eseguire:
curl -v https://dev.euwarden.com/healthz
Se fallisce, il Connector non può raggiungere il piano di controllo. Verificare inoltre se la stessa macchina del Connector è ancora raggiungibile (ping, SSH o RDP).
Soluzione: Ripristinare il percorso di rete in uscita. Confermare che i firewall aziendali o i gruppi di sicurezza cloud consentono TCP 443 dall'host del Connector al piano di controllo. Dopo il ripristino della connettività, il Connector si riconnetterà automaticamente entro 30 secondi — non è necessario alcun riavvio manuale.
2. Host di risorsa non raggiungibile
Il Connector potrebbe essere integro ma uno o più host di risorse che sonda (le destinazioni registrate nei Safe collegati) sono diventati non raggiungibili dalla rete del Connector. Ciò produce uno stato Degraded anziché Offline.
Controllo: Identificare quale host di risorsa è contrassegnato. In Connectors → scegli Connector → Health details, potresti vedere risultati di sondaggio per host. Dalla macchina del Connector, verifica la raggiungibilità della destinazione interessata:
nc -zv <target-host> <target-port>
Soluzione: Ripristinare il percorso dalla macchina del Connector all'host di risorsa. La sonda si ripristinerà al prossimo ciclo di controllo dello stato (generalmente ogni 60 secondi). Non è necessario alcun riavvio del Connector.
3. Timeout della sonda
Le sonde di controllo dello stato hanno un timeout configurabile. Se l'host di risorsa o il Connector è lento a rispondere — a causa di un carico CPU elevato, un servizio bloccato o un percorso di rete sovraccarico — la sonda potrebbe andare in timeout anche se l'host è tecnicamente raggiungibile. Gli stati rossi intermittenti che si auto-risolvono spesso rientrano in questa categoria.
Controllo: Apri Connectors → scegli Connector → Health history. Se lo stato di controllo alterna tra rosso e verde senza intervento, i timeout della sonda sono la probabile causa. Conferma che l'host di risorsa non sia sotto carico inusuale.
Soluzione: Se il timeout della sonda è consistentemente troppo breve per il tempo di risposta normale dell'host, chiedi a un operatore VaultPAM di aumentare il timeout della sonda nella configurazione del Connector. Se l'host è sovraccarico, affronta il problema di carico sul sistema target.
4. Mancata corrispondenza di versione del Connector
VaultPAM rilascia periodicamente aggiornamenti del Connector. Se un Connector esegue una versione che non è più supportata, il piano di controllo potrebbe smettere di accettare i suoi rapporti di stato o contrassegnarlo come degraded fino a quando il Connector non viene aggiornato.
Controllo: Apri Connectors → scegli Connector → Details. Confronta il campo Version rispetto alla versione più recente del Connector supportata elencata in System → Connector versions o nelle note di rilascio di VaultPAM.
Soluzione: Aggiorna il Connector alla versione supportata attuale. La procedura di aggiornamento dipende dal metodo di distribuzione:
- Docker: estrai l'immagine più recente e ricrea il contenitore.
- Native / VM: scarica il binario aggiornato e riavvia il servizio.
- Kubernetes: aggiorna il tag dell'immagine nel manifesto di distribuzione e applica.
Dopo l'aggiornamento, il Connector si appaierà nuovamente utilizzando la sua identità duratura esistente — non è necessario alcun nuovo token di iscrizione.
5. Needs recovery
Se lo stato è Needs recovery, il Connector ha perso la sua identità duratura e non si ripristinerà attraverso le normali cause di salute rossa sopra.
Controllo: Apri Connectors e conferma che lo stato sia Needs recovery anziché Degraded o Offline.
Soluzione: Segui My connector is offline e usa il ramo guided-recovery. Non continuare a riprovare i normali passaggi di ripristino della salute in questo articolo.
Passaggi di risoluzione
- Apri Connectors → scegli Connector e nota se lo stato è Degraded (Connector attivo, host inattivi), Offline (Connector non raggiungibile) o Needs recovery. Se è Needs recovery, fermati qui e segui My connector is offline.
- Se Offline: dall'host del Connector, esegui
curl -v https://dev.euwarden.com/healthz. Se fallisce, ripristina il percorso di rete in uscita al piano di controllo. - Se Degraded: controlla quali sonde dell'host di risorsa stanno fallendo in Connectors → scegli Connector → Health details. Dalla macchina del Connector, esegui
nc -zv <target-host> <target-port>per ogni host non funzionante e ripristina la connettività. - Se lo stato alterna intermittentemente senza intervento, controlla i timeout della sonda e il carico dell'host di risorsa.
- Confronta la versione del Connector rispetto alla versione supportata. Aggiorna se obsoleta.
- Dopo qualsiasi correzione, attendi 60–90 secondi e aggiorna la pagina Connectors. L'indicatore di stato si aggiorna automaticamente al prossimo ciclo di sondaggio.
Percorso di escalation
Se il controllo dello stato rimane rosso dopo aver lavorato su tutte e quattro le cause:
- Prendi nota del nome del Connector, dello stato attuale e dell'ora in cui lo stato di controllo è cambiato.
- Raccogli i log del Connector (ultimi 200 righe):
- Docker:
docker logs -n 200 vaultpam-connector - systemd:
journalctl -u vaultpam-connector -n 200
- Docker:
- Includi l'output di
curl -v https://dev.euwarden.com/healthzdall'host del Connector. - Apri un ticket di supporto con: nome del Connector, stato, output del log e risultati del test di connettività di rete.