Маніторынг VPN Azure Site: спалучыце стан тунеля з рэальным зондам

Усе панэлі зялёныя, тунель падняты адзінаццаць дзён, а філіял не можа загрузіць унутраную праграму. Гэта сімптом, для якога існуе гэты дызайн, і гэта не памылка маніторынгу. Стан тунеля адказвае на пытанне пра перамовы, а карыстальнік пытае пра запыт, які праходзіць праз чатыры рашэнні маршрутызацыі і слой палітык. Патрэбныя абодва сігналы, асобна, і спосаб адрозніць іх сярод ночы.

Пачынайце з сімптому збою, а не з тунеля

Усталяваная асацыяцыя бяспекі азначае, што бакі дамовіліся пра прапанову і ўсталявалі ключы. Гэта не азначае, што селектары пакрываюць падсетку, патрэбную карыстальніку, што далёкі бок мае зваротны маршрут ці што фэйрвол прымае порт пасля расшыфроўкі. Трафік можа збанкрутаваць і на баку філіяла, і тады Azure не бачыць нічога і паведамляе ідэальнае здароўе. Метрыка тунеля неабходная і ніколі не дастатковая.

Тры станы павінны адрознівацца: тунель не працуе, тунель працуе і сэрвіс збанкрутаваў, і сам крыніца маніторынгу недаступная.

Размясціце зонд там, дзе знаходзяцца карыстальнікі

Для праграмы ад філіяла да Azure запускайце сінтэтычны тэст з хоста ў сетцы працоўнай нагрузкі філіяла і накіроўвайце яго на прыватную кропку ўваходу HTTPS, куды рэальна трапляюць карыстальнікі. Зонд, запушчаны са шлюза, выкарыстоўвае іншы адрас крыніцы і часта іншы шлях палітыкі, таму можа прайсці, пакуль кожны карыстальнік падае. Azure Connection Monitor падтрымлівае праверкі TCP, ICMP і HTTP з тэставымі групамі і парогамі, а яго лакальныя крыніцы маюць патрабаванні да агента, якія адрозніваюцца ад патрабаванняў на баку Azure. Праверце бягучую падтрымліваемую схему, а не капіруйце састарэлы рэцэпт класічнага маніторынгу з блога.

Трымайце зонд вузкім і сумным: адна прызначэнне, адзін порт, частата, якая адпавядае эксплуатацыйнаму патрабаванню, і яўнае правіла дазволу для гэтай крыніцы.

Выберыце праверку, якая адпавядае сэрвісу

TCP-злучэнне да порта сэрвісу даказвае дасяжнасць транспарту праз тунель і нічога не кажа пра TLS або праграму. Праверка HTTP дадае чаканне статусу і ловіць слухача, які прымае злучэнні, але не можа абслугоўваць; гэта больш частая адмова пасля змены сертыфіката або бэкенда. Ні адна з іх не з’яўляецца аўтэнтыфікаванай бізнес-транзакцыяй, калі тэст не аўтэнтыфікуе насамрэч, таму не пазначайце яе так на панэлі. Выбірайце праверку, якая падае, калі ўзнікае скарга карыстальніка.

ICMP — найслабейшы з трох, бо многія стэкі адкідаюць яго па палітыцы, і няўдалы пінг даказвае вельмі мала.

Дастаўце абодва сігналы ў Elastic, не выдумляючы іх

Шлюз VPN выдае метрыкі платформы, такія як байты выхаду і ўваходу тунеля і лічыльнікі страты пакетаў, і можа адпраўляць дыягнастычныя журналы ў катэгорыях, уключаючы падзеі тунеля і IKE. Вынікі Connection Monitor прыходзяць праз Azure Monitor як метрыкі і праз працоўную прастору Log Analytics як запісы журнала. Нішто з гэтага не з’яўляецца ў індэксе Elastic само па сабе. Выберыце адзін падтрымліваемы канвеер для метрык і адзін для журналаў, звычайна ўвод Azure Event Hub або інтэграцыю Azure Monitor, і праверце, што ўсталяваная інтэграцыя насамрэч спажывае, перш чым давяраць шаблону індэкса.

Захавайце меткі, якія дазваляюць аператару злучыць два наборы даных: крынічны канец, прызначэнне, пратакол і порт для зонда, а таксама ідэнтычнасць тунеля і адрас партнёра для шлюза.

Праверце канвеер на адной кантраляванай падзеі, затым знайдзіце яе ў Elastic і праверце яе адзнаку часу і меткі рэсурсаў. Дакумент з няправільнай адзнакай часу горш за прапушчаны, бо робіць састарэлыя даныя актуальнымі.

Абвяшчайце трывогу на розніцу, а не на колер

Сэнс захавання двух сігналаў — у камбінацыях. Тунель не працуе — паведамляць уладальніку сеткі; тунель працуе, але зонд падае — уладальніку праграмы; няма выніку зонда — таму, хто валодае агентам маніторынгу. Зліццё ўсіх трох у адну чырвоную панэль гарантуе, што трывогу выключаць на працягу месяца. Абвяшчайце трывогу на ўстойлівы збой з акном захавання, а не на адзіным замеры, і дадайце асобную праверку здароўя самога канвеера загрузкі.

Панэль, поўная ўчорашніх паспяховых замераў, не павінна чытацца як здаровы шлях сёння.

У пісьмовым выглядзе кантракт малы: метрыка тунеля кажа, што шлюз дамовіўся, зонд кажа, што шлях працуе з таго месца, дзе сядзяць карыстальнікі, а здароўе канвеера кажа, ці актуальны любы з адказаў. Усё астатняе на панэлі — каментар.