Diagnostica

Il bundle diagnostico

Prima di tutto il resto: se aprite una segnalazione, allegate il bundle. Contiene versioni, stato del cluster, configurazione (senza segreti) e log recenti, e vi risparmia tre scambi di messaggi.

core diag bundle create

Il file viene scritto in /var/lib/corellix/diag/ e si scarica anche da Citadel (Dashboard → Diagnostica).

Per restringerlo a un componente e a una finestra temporale:

core diag bundle create --component nucleus --since 4h

I segreti non sono inclusi. Le credenziali sono sostituite da segnaposto.

I primi tre comandi

Nell’ordine, quando qualcosa non va:

core cluster status      # i nodi sono tutti pronti? etcd è in salute?
core service status --all # quali componenti non sono attivi?
core diag disk           # c'è spazio?

Lo spazio disco è la terza domanda perché è la causa che si manifesta nel modo più vario: un disco pieno non produce l’errore “disco pieno”, produce dieci sintomi diversi in dieci componenti diversi.

Problemi ricorrenti

Il portale non risponde

1. core service status --component lumina
2. Verificate che il DNS risolva l’hostname del portale verso il VIP.
3. Verificate che il VIP sia attivo: core network show.
4. Provate dall’indirizzo IP del nodo: se funziona così ma non per nome, il problema è DNS o certificato.

Un agent non riporta

In ordine di frequenza:

1. Certificato. L’agent non si fida della CA che ha emesso il certificato di agents.<dominio>. A differenza di un browser, non chiede: rifiuta. Vedi Certificati e TLS.
2. DNS. Il record agents.<dominio> non esiste o non risolve dalla rete dell’agent.
3. Chiave. La chiave di registrazione è scaduta o è stata revocata.
4. Rete. Il traffico HTTPS in uscita verso l’appliance è bloccato.

Sulla macchina, i log dell’agent riportano quale delle quattro.

Una piattaforma collegata ha smesso di riportare

Lo stato e l’ultimo errore sono in Sistema → Raccolta dati, e in Citadel sotto Beacon → Ingestion. In ordine di frequenza: credenziali scadute, permessi ridotti sull’utenza, API cambiata dopo un aggiornamento della sorgente, rete.

Una console remota non si apre nel portale

Quasi sempre manca il record DNS wildcard *.console.<dominio> o il certificato non copre quel nome. La console si apre comunque in una scheda separata: se succede questo, è quello. Vedi Console remote.

Un pod resta in avvio

Verificate prima le sue dipendenze. Nucleus non parte senza PostgreSQL, e dopo un riavvio del cluster il database può metterci qualche minuto — nel frattempo Nucleus attende, ed è normale fino a cinque minuti.

core diag logs --component nucleus --since 15m

Un aggiornamento è fallito

Il passo fallito e l’errore sono nel piano. Le cause tipiche sono in Aggiornamenti. Dopo aver rimosso la causa, rilanciate: riprende dal punto di interruzione.

Corell!A risponde lentamente

Con modello locale, la prima domanda dopo un’inattività è lenta perché il modello viene caricato. Se ogni domanda è lenta come la prima, il modello viene ricaricato di continuo: verificate se il pod si riavvia spesso.

core diag logs --component corellia --since 1h

Log

core diag logs --component <nome> --since 1h
core diag logs --component <nome> --follow
core diag logs --component <nome> --level error

I nomi dei componenti sono quelli dell’inventario — vedi Panoramica.

Verifiche di rete dall’appliance

core diag connectivity --target https://prism.azienda.loc:9440
core diag dns --name agents.azienda.loc
core diag cert --target https://vcenter.azienda.loc

Sono i controlli che servono a distinguere “la piattaforma sorgente è irraggiungibile” da “le credenziali sono sbagliate”, che nei log applicativi a volte si assomigliano.

Break-glass

Quando serve la shell — un guasto che le API non coprono, o una richiesta esplicita del supporto — la procedura di break-glass la concede. L’accesso è registrato, limitato nel tempo e riportato negli audit.

Non è una scorciatoia. Ogni intervento manuale è una divergenza dallo stato che la piattaforma crede di avere, e la riconciliazione lo annullerà o ci entrerà in conflitto.

Aprire una segnalazione

Scrivete a support@corellix.io allegando:

1. il bundle diagnostico;
2. che cosa è successo, e quando;
3. che cosa è cambiato di recente — un aggiornamento, una modifica di rete, un certificato sostituito;
4. che cosa avete già verificato.

Il quarto punto è quello che accorcia i tempi più di ogni altro.