Мониторинг на Azure Site VPN: свържете състоянието на тунела с реална сонда

Всяко табло е зелено, тунелът е активен от единадесет дни, а клонът не може да зареди вътрешното приложение. Това е симптомът, за който съществува този дизайн, и не е дефект в мониторинга. Състоянието на тунела отговаря на въпрос за договарянето, докато потребителят пита за заявка, преминаваща през четири решения за маршрутизация и слой с политики. Нужни са и двата сигнала, разделени, и начин да ги различите посред нощ.

Започнете от симптома на отказа, не от тунела

Установена асоциация за сигурност означава, че страните са се съгласили за предложение и са инсталирали ключове. Това не означава, че селекторите покриват подмрежата, която потребителят иска, че далечната страна има обратен маршрут или че защитна стена приема порта след декриптиране. Трафикът може да се провали и от страната на клона, при което Azure не вижда нищо и съобщава отлично здраве. Метриката на тунела е необходима и никога не е достатъчна.

Три състояния трябва да се различават: тунелът е спрян, тунелът е активен и услугата се проваля, и самият източник на мониторинг е недостъпен.

Поставете сондата там, където са потребителите

За приложение от клон към Azure стартирайте синтетичния тест от хост в мрежата на работното натоварване на клона и го насочете към частната HTTPS входна точка, която потребителите наистина достигат. Сонда, стартирана от шлюза, използва различен адрес на източника и често различен път на политика, така че може да мине, докато всеки потребител се проваля. Azure Connection Monitor поддържа проверки TCP, ICMP и HTTP с тестови групи и прагове, а локалните му източници имат изисквания за агент, различни от тези от страна на Azure. Проверете текущата поддържана подредба, вместо да копирате отпаднала класическа рецепта за мониторинг от блог.

Дръжте сондата тясна и скучна: една дестинация, един порт, честота, съответстваща на оперативното изискване, и явно правило за разрешаване на този източник.

Изберете проверка, която съответства на услугата

TCP връзка към порта на услугата доказва транспортна достижимост през тунела и не казва нищо за TLS или приложението. HTTP проверката добавя очакване за статус и хваща слушател, който приема връзки, но не може да обслужва, което е по-честият отказ след промяна на сертификат или бекенд. Нито една от двете не е автентикирана бизнес транзакция, освен ако тестът наистина не автентикира, затова не я обозначавайте така на таблото. Изберете проверката, която се проваля, когато възникне оплакването на потребителя.

ICMP е най-слабата от трите опции, тъй като много стекове го изхвърлят по политика и неуспешен ping доказва много малко.

Доставете двата сигнала в Elastic, без да ги измисляте

Шлюзът VPN излъчва платформени метрики като байтове за изход и вход на тунела и броячи за отпадане на пакети и може да изпраща диагностични журнали в категории, включително събития на тунела и IKE. Резултатите от Connection Monitor пристигат през Azure Monitor като метрики и през работно пространство Log Analytics като записи в журнал. Нищо от това не се появява в индекс на Elastic само по себе си. Изберете един поддържан конвейер за метрики и един за журнали, обикновено входът Azure Event Hub или интеграцията Azure Monitor, и проверете какво инсталираната интеграция действително приема, преди да се доверите на шаблона на индекса.

Запазете етикетите, които позволяват на оператора да свърже двата набора данни: изходна крайна точка, дестинация, протокол и порт за сондата, и идентичност на тунела плюс адрес на партньора за шлюза.

Валидирайте конвейера с едно контролирано събитие, след което го потърсете в Elastic и проверете времевата му марка и етикетите на ресурсите. Документ с грешна времева марка е по-лош от липсващ, защото представя стари данни като актуални.

Алармирайте за разликата, не за цвета

Смисълът от поддържането на два сигнала са комбинациите. Тунелът е спрян — известете собственика на мрежата; тунелът е активен, а сондата се проваля — собственика на приложението; липсва резултат от сондата — този, който отговаря за агента за мониторинг. Сливането на трите в един червен панел гарантира, че алармата ще бъде заглушена в рамките на месец. Алармирайте при продължителен отказ с прозорец на устойчивост, а не при единична извадка, и добавете отделна проверка за здравето на самия конвейер за приемане.

Табло, пълно с вчерашни успешни извадки, не трябва да се чете като здрав път днес.

Записано, договорът е малък: метриката на тунела ви казва, че шлюзът е договорил, сондата ви казва, че пътят работи от мястото, където стоят потребителите, а здравето на конвейера ви казва дали някой от отговорите е актуален. Всичко останало на таблото е коментар.