La verificación de estado del Connector está en rojo

VaultPAM ejecuta sondeos de estado periódicos contra cada Connector y los hosts de recursos que sirve. Cuando el indicador de estado se vuelve rojo (o muestra Degraded), casi siempre una de cuatro causas es responsable. La pérdida de conectividad de red es la más común; los desajustes de versión son los menos comunes pero fáciles de confirmar.

Síntomas

• La fila del Connector en Connectors muestra un indicador de estado rojo o el estado Degraded.
• Una insignia de estado en un Safe específico muestra que el Connector que lo sirve no es saludable.
• Se generan alertas para ControlPlaneTunnelHeartbeatTimeoutsHigh o una métrica similar.
• Las sesiones iniciadas a través del Connector fallan o son lentas para conectarse.
• El estado del Connector era verde recientemente y se volvió rojo sin un cambio aparente.

Qué significan los estados de salud

Estado	Significado
Online	El Connector y todos los hosts de recursos sondeados son accesibles.
Degraded	El Connector es accesible pero al menos una sonda de host de recursos está fallando.
Offline	El Connector no es accesible desde el plano de control.
Needs recovery	El Connector ha perdido su identidad duradera y no puede reconectarse normalmente. El estado de ejecución interno es needs_recovery; el Connector no vuelve silenciosamente al token de arranque original y falla de forma cerrada hasta que un operador inicia el flujo de recuperación controlada.

Un indicador de estado rojo corresponde a Degraded (Connector activo, algunos hosts inactivos) u Offline (el propio Connector inaccesible).

Causas

1. Pérdida de conectividad de red

El host del Connector ha perdido su ruta de salida hacia el plano de control de VaultPAM (puerto 443), o un cambio de política de red ha bloqueado la ruta.

Verificación: Desde el host del Connector, ejecute:

curl -v https://dev.euwarden.com/healthz

Si esto falla, el Connector no puede alcanzar el plano de control. Compruebe también si la máquina del Connector en sí sigue siendo accesible (ping, SSH o RDP).

Solución: Restaure la ruta de red de salida. Confirme que los firewalls corporativos o los grupos de seguridad en la nube permitan TCP 443 desde el host del Connector hacia el plano de control. Después de restaurar la conectividad, el Connector se reconectará automáticamente en 30 segundos — no se necesita reinicio manual.

2. Host de recurso inaccesible

El Connector puede ser saludable por sí mismo pero uno o más hosts de recursos que sondea (los destinos registrados en los Safes conectados) se han vuelto inaccesibles desde la red del Connector. Esto produce un estado Degraded en lugar de Offline.

Verificación: Identifique qué host de recurso está marcado. En Connectors → seleccione Connector → Health details, puede ver resultados de sondeo por host. Desde la máquina del Connector, pruebe la accesibilidad al destino afectado:

nc -zv <target-host> <target-port>

Solución: Restaure la ruta desde la máquina del Connector al host de recursos. La sonda se recuperará en el siguiente ciclo de verificación de estado (típicamente cada 60 segundos). No se necesita reinicio del Connector.

3. Tiempo de espera de sondeo

Los sondeos de estado tienen un tiempo de espera configurable. Si el host de recursos o el Connector es lento para responder —debido a una carga alta de CPU, un servicio bloqueado o una ruta de red sobrecargada— la sonda puede agotar el tiempo de espera incluso si el host es técnicamente accesible. Los estados rojos intermitentes que se resuelven por sí solos a menudo caen en esta categoría.

Verificación: Abra Connectors → seleccione Connector → Health history. Si el estado de salud alterna entre rojo y verde sin intervención, los tiempos de espera de sondeo son la causa probable. Confirme que el host de recursos no está bajo una carga inusual.

Solución: Si el tiempo de espera de sondeo es consistentemente demasiado corto para el tiempo de respuesta normal del host, pida a un operador de VaultPAM que aumente el tiempo de espera de sondeo en la configuración del Connector. Si el host está sobrecargado, aborde el problema de carga en el sistema de destino.

4. Desajuste de versión del Connector

VaultPAM publica periódicamente actualizaciones de Connector. Si un Connector ejecuta una versión que ya no es compatible, el plano de control puede dejar de aceptar sus informes de estado o marcarlo como degradado hasta que se actualice el Connector.

Verificación: Abra Connectors → seleccione Connector → Details. Compare el campo Version contra la última versión de Connector compatible listada en System → Connector versions o en las notas de lanzamiento de VaultPAM.

Solución: Actualice el Connector a la versión compatible actual. El procedimiento de actualización depende del método de implementación:

• Docker: descargue la imagen más reciente y recrece el contenedor.
• Native / VM: descargue el binario actualizado y reinicie el servicio.
• Kubernetes: actualice la etiqueta de imagen en el manifiesto de implementación y aplique.

Después de la actualización, el Connector se re-emparejará utilizando su identidad duradera existente — no se necesita un nuevo token de inscripción.

5. Needs recovery

Si el estado es Needs recovery, el Connector ha perdido su identidad duradera y no se recuperará a través de las causas ordinarias de salud roja anteriores.

Verificación: Abra Connectors y confirme que el estado es Needs recovery en lugar de Degraded u Offline.

Solución: Siga My connector is offline y use la rama de recuperación guiada. No siga reintentan los pasos de recuperación de salud ordinarios en este artículo.

Pasos de resolución

1. Abra Connectors → seleccione Connector y observe si el estado es Degraded (Connector activo, hosts inactivos), Offline (Connector inaccesible) o Needs recovery. Si es Needs recovery, deténgase aquí y siga My connector is offline.
2. Si Offline: desde el host del Connector, ejecute curl -v https://dev.euwarden.com/healthz. Si falla, restaure la ruta de red de salida hacia el plano de control.
3. Si Degraded: compruebe qué sondeos de host de recursos están fallando en Connectors → seleccione Connector → Health details. Desde la máquina del Connector, ejecute nc -zv <target-host> <target-port> para cada host que falla y restaure la conectividad.
4. Si el estado alterna intermitentemente sin intervención, compruebe los tiempos de espera de sondeo y la carga del host de recursos.
5. Compare la versión del Connector con la versión compatible. Actualice si está desactualizada.
6. Después de cualquier solución, espere 60–90 segundos y actualice la página Connectors. El indicador de estado se actualiza automáticamente en el siguiente ciclo de sondeo.

Ruta de escalada

Si la verificación de estado permanece roja después de trabajar con las cuatro causas:

1. Anote el nombre del Connector, el estado actual y la hora en que cambió el estado de salud.
2. Recopile los registros del Connector (últimas 200 líneas):
   • Docker: docker logs -n 200 vaultpam-connector
   • systemd: journalctl -u vaultpam-connector -n 200
3. Incluya la salida de curl -v https://dev.euwarden.com/healthz desde el host del Connector.
4. Abra un ticket de soporte con: nombre del Connector, estado, salida de registro y resultados de prueba de conectividad de red.

Artículos relacionados

• My connector is offline
• My SSH session fails to launch
• My RDP session disconnects unexpectedly