Zugriff auf eine Customer Edge

Vier Wege funktionieren, und welcher davon zutrifft, entscheidet sich durch den Zustand des Knotens, durch den Ort, von dem aus Sie sich verbinden, und dadurch, was Sie erreichen müssen — nicht durch Vorlieben.

Weg	Erfordert Knoten `ONLINE`	Erfordert Netzwerkerreichbarkeit	Einschränkungen	Umfang
Debug-API	ja	ja	etwa 25–30 Minuten Aufwärmzeit bei einer neuen Site	34 Befehle
Site Console	nein	über Azure Bastion, kein Jump-Host erforderlich	Bastion muss Standard-SKU mit Tunneling sein und wird standardmäßig nicht bereitgestellt	F5s Oberfläche zur Knoten-Fehlersuche
SSH	nein	aus dem VNet heraus, nur zur internen Adresse	Schlüssel muss ab dem ersten Bootvorgang vorhanden sein	Die vollständige lokale Site CLI
Serielle Konsole	nein	nein	eine Sitzung pro VM; Einfügelimit von 2.048 Zeichen	Die vollständige lokale Site CLI

Die serielle Konsole ist die letzte Möglichkeit und der einzige Weg, der bei einem Knoten ohne funktionierenden Netzwerkpfad weiterhin verfügbar bleibt.

Die Site Console ist üblicherweise der erste Versuch. Sie verlangt am wenigsten von Ihnen — kein zu verteilender SSH-Schlüssel, kein Jump-Host, keine öffentliche IP auf dem Knoten und kein VM-Austausch —, weil der Zugriff zu einer Azure-RBAC-Entscheidung wird statt zu einem Problem der Anmeldedatenverteilung. Sie erhalten F5s eigene Oberfläche zur Fehlersuche statt der Befehlsoberfläche; greifen Sie also darüber hinaus, wenn Sie bestimmte Befehle ausführen oder etwas skripten müssen. Ihre einzige Voraussetzung ist Azure Bastion, das diese Bereitstellung optional macht (enable_bastion, Standard false), weil ein Host mit Standard-SKU Kosten verursacht, unabhängig davon, ob jemand einen Tunnel öffnet.

SSH ist der Weg der Wahl, wenn die Debug-API nicht ausreicht, denn die Appliance bietet wesentlich mehr Befehle als die 34, die diese API bereitstellt. Das hat zwei Kosten. Der Schlüssel wird von cloud-init geschrieben und muss daher beim ersten Bootvorgang vorhanden sein, was bedeutet, dass die Aktivierung auf laufenden Knoten jede CE-VM ersetzt — ein Neuaufbau der Flotte statt einer Konfigurationsänderung. Und sshd antwortet ausschließlich auf der internen Adresse des Knotens, benötigt also einen Host innerhalb des VNet; ein Test der Adresse, unter der Sie den Knoten kennen, meldet immer „geschlossen”.

Warum die Aufteilung keine Vorliebe ist

Die Debug-API wird von der Steuerungsebene der F5 Distributed Cloud bereitgestellt, die die Anfragen über den Tunnel weiterleitet, den vpm während der Registrierung aufbaut. Keine Registrierung bedeutet kein Tunnel, was bedeutet, dass die API nichts hat, wohin sie weiterleiten könnte.

Sie schlägt auf wenig hilfreiche statt auf offensichtliche Weise fehl, sodass ein Knoten, der nie hochgekommen ist, wie ein API-Problem aussieht.

Die serielle Konsole geht einen völlig anderen Weg — über die Azure-Plattform zum emulierten seriellen Anschluss des Knotens. Es spielt dabei keine Rolle, ob der Knoten registriert ist, Netzwerkerreichbarkeit hat oder über eine funktionierende Datenebene verfügt. Genau diese Unabhängigkeit ist der Sinn der Sache, und deshalb muss die Boot-Diagnose auf den CE-VMs aktiviert bleiben.

Anmeldedaten

Jeder Weg verwendet andere Anmeldedaten, und keine davon gehört auf eine Befehlszeile.

Debug-API — ein API-Token der F5 Distributed Cloud, als XCSH_API_TOKEN, mit der Mandanten-URL als XCSH_API_URL. Die xcsh-Kontextdatei unter ~/.config/xcsh/contexts/<tenant>.json enthält beides, und genau diese liest scripts/capture-sitecli.sh, wenn die Umgebung sie nicht bereitstellt. Der Mandant dieser Bereitstellung ist f5-sales-demo; ein für einen anderen Mandanten ausgestelltes Token liefert einen nackten 401 zurück, der wie ein abgelaufenes Anmeldedatum aussieht.
Site Console — zwei Anmeldedaten auf unterschiedlichen Ebenen. Ihre interaktive Azure-Anmeldung öffnet den Bastion-Tunnel, und das admin-Konto der Appliance meldet sich dahinter über HTTP Basic an der Konsole an. Microsoft gibt für die Azure-Seite Reader auf der VM, ihrer NIC und dem Bastion-Host als Anforderung an; diese Anforderung wurde hier nicht überprüft, weil alle Tests als Abonnementeigentümer ausgeführt wurden.
SSH — die private Hälfte des Schlüsselpaars, dessen öffentliche Hälfte die Bereitstellung beim ersten Bootvorgang in /var/home/admin/.ssh/authorized_keys geschrieben hat, sowie ein Host innerhalb des VNet, über den die interne Adresse erreichbar ist. Verbinden Sie sich als admin, nicht als azureuser.
Serielle Konsole — Ihre interaktive Azure-Anmeldung. Es gibt hierfür keinen Dienstprinzipal: Der Entra-Mandant von F5 erlaubt keine Bereitstellung eines solchen, weshalb auch kein Teil davon in CI läuft.