Azure-werf-VPN-monitering: pas tonneltoestand by ’n werklike probe

Elke paneelbord is groen, die tonnel is al elf dae op, en die tak kan nie die interne toepassing laai nie. Dit is die simptoom waarvoor hierdie ontwerp bestaan, en dit is nie ’n moniteringsfout nie. Tonnelstatus beantwoord ’n vraag oor onderhandeling, terwyl die gebruiker ’n vraag vra oor ’n versoek wat vier roetebesluite en ’n beleidslaag oorsteek. Jy het albei seine nodig, apart gehou, en ’n manier om hulle in die middel van die nag uitmekaar te hou.

Begin by die falende simptoom, nie by die tonnel nie

’n Gevestigde sekuriteitsassosiasie beteken die eweknieë het oor ’n voorstel ooreengekom en sleutels geïnstalleer. Dit beteken nie die keurders dek die subnet wat die gebruiker nodig het nie, dat die ander kant ’n terugroete het nie, of dat ’n firewall die poort ná dekripsie aanvaar nie. Verkeer kan ook aan die takkant van die tonnel faal, en dan sien Azure glad niks en rapporteer perfekte gesondheid. Die tonnelmaatstaf is noodsaaklik, en dit is nooit voldoende nie.

Drie toestande moet onderskei kan word: die tonnel is af, die tonnel is op en die diens faal, en die moniteringsbron self is onbeskikbaar.

Plaas die probe waar die gebruikers is

Vir ’n tak-na-Azure-toepassing, hardloop die sintetiese toets vanaf ’n gasheer in die tak se werklasnetwerk en rig dit op die private HTTPS-toegangspunt wat gebruikers werklik tref. ’n Probe wat vanaf die gateway gelanseer word, gebruik ’n ander bronadres en dikwels ’n ander beleidsroete, so dit kan slaag terwyl elke gebruiker faal. Azure Connection Monitor ondersteun TCP-, ICMP- en HTTP-kontroles met toetsgroepe en drumpels, en sy plaaslike bronne het agentvereistes wat van die Azure-kant s’n verskil. Kyk na die huidige ondersteunde reëling eerder as om ’n uitgediende klassieke moniteringsresep van ’n blog te kopieer.

Hou die probe smal en vervelig: een bestemming, een poort, ’n frekwensie wat by die bedryfsvereiste pas, en ’n eksplisiete toelaatreël vir daardie bron.

Kies ’n kontrole wat by die diens pas

’n TCP-verbinding na die dienspoort bewys vervoerbereikbaarheid deur die tonnel en sê niks oor TLS of die toepassing nie. ’n HTTP-kontrole voeg ’n statusverwagting by en vang ’n luisteraar wat verbindings aanvaar maar nie kan bedien nie, wat die meer algemene fout is ná ’n sertifikaat- of backend-verandering. Nie een is ’n geauthentiseerde besigheidstransaksie nie, tensy die toets werklik authentiseer, so moenie dit so op die paneelbord benoem nie. Kies die kontrole wat faal wanneer die gebruiker se klagte gebeur.

ICMP is die swakste van die drie, want baie stelle laat dit per beleid val en ’n mislukte ping bewys baie min.

Kry albei seine in Elastic sonder om hulle te versin

Die VPN-gateway stuur platformmaatstawwe soos tonnel-uitgang- en -ingangsbytes en pakketverlies-tellers, en dit kan diagnostiese logs in kategorieë insluitend tonnel- en IKE-gebeure stuur. Connection Monitor-resultate kom deur Azure Monitor as maatstawwe en deur ’n Log Analytics-werkspasie as logrekords. Niks daarvan verskyn op sigself in ’n Elastic-indeks nie. Kies een ondersteunde pyplyn vir maatstawwe en een vir logs, gewoonlik die Azure Event Hub-invoer of die Azure Monitor-integrasie, en verifieer wat die geïnstalleerde integrasie werklik inneem voordat jy die indekspatroon vertrou.

Behou die etikette wat ’n operateur in staat stel om die twee datastelle te verbind: bron-eindpunt, bestemming, protokol en poort vir die probe, en tonnelidentiteit plus eweknie-adres vir die gateway.

Valideer die pyplyn met een beheerde gebeurtenis, soek dit dan in Elastic en kontroleer sy tydstempel en hulpbronetikette. ’n Dokument met die verkeerde tydstempel is slegter as ’n ontbrekende een, want dit laat verouderde data as aktuell lyk.

Waarsku oor die verskil, nie die kleur nie

Die punt daarvan om twee seine te hou, is die kombinasies. Tonnel af moet die netwerkeienaar oproep; tonnel op met ’n falende probe moet die toepassingseienaar oproep; ’n ontbrekende probe-uitslag moet die eienaar van die moniteringsagent oproep. Om al drie in een rooi paneel saam te vat, waarborg dat die waarskuwing binne ’n maand gedemp word. Waarsku oor aanhoudende faling met ’n volhardingsvenster eerder as oor ’n enkele monster, en voeg ’n aparte kontrole by vir die gesondheid van die innamepyplyn self.

’n Paneelbord vol gister se geslaagde monsters behoort nie vandag as ’n gesonde pad te lees nie.

Neergeskryf is die kontrak klein: die tonnelmaatstaf sê die gateway het onderhandel, die probe sê die pad werk van waar gebruikers sit, en die pyplyngesondheid sê of enige van die antwoorde aktuell is. Alles anders op die paneelbord is kommentaar.