Praćenje Azure Site VPN: uparite stanje tunela sa stvarnom sondom

Svaki dashboard je zelen, tunel je aktivan jedanaest dana, a podružnica ne može učitati internu aplikaciju. To je simptom za koji ovaj dizajn postoji i nije greška u praćenju. Stanje tunela odgovara na pitanje o pregovaranju, dok korisnik pita o zahtjevu koji prolazi kroz četiri odluke rutiranja i sloj politika. Potrebna su oba signala, odvojeno, i način da ih razlikujete u sred noći.

Pođite od simptoma kvara, ne od tunela

Uspostavljena sigurnosna asocijacija znači da su se strane dogovorile o prijedlogu i instalirale ključeve. Ne znači da selektori pokrivaju podmrežu koja korisniku treba, da udaljena strana ima povratnu rutu ili da firewall prihvata port nakon dešifrovanja. Saobraćaj može pasti i na strani podružnice, i tada Azure ne vidi ništa i prijavljuje savršeno zdravlje. Metrika tunela je neophodna i nikada nije dovoljna.

Tri stanja moraju biti razlikovna: tunel je pao, tunel je aktivan a usluga ne radi, i sam izvor praćenja nije dostupan.

Postavite sondu tamo gdje su korisnici

Za aplikaciju od podružnice prema Azureu pokrenite sintetički test s hosta u radnoj mreži podružnice i usmjerite ga na privatnu HTTPS ulaznu točku koju korisnici zaista pogađaju. Sonda pokrenuta s gatewaya koristi drugu izvornu adresu i često drugu putanju politike, pa može proći dok svaki korisnik pada. Azure Connection Monitor podržava TCP, ICMP i HTTP provjere s testnim grupama i pragovima, a njegovi lokalni izvori imaju zahtjeve za agenta koji se razlikuju od onih na strani Azurea. Provjerite trenutno podržani raspored umjesto da kopirate zastarjeli recept klasičnog praćenja s bloga.

Držite sondu uskom i dosadnom: jedno odredište, jedan port, frekvencija koja odgovara operativnom zahtjevu i izričito pravilo dozvole za taj izvor.

Odaberite provjeru koja odgovara usluzi

TCP veza na port usluge dokazuje dostupnost transporta kroz tunel i ne govori ništa o TLS-u ni o aplikaciji. HTTP provjera dodaje očekivanje statusa i hvata slušača koji prihvata veze ali ne može posluživati, što je češći kvar nakon promjene certifikata ili backenda. Nijedna nije autentifikovana poslovna transakcija ako test zaista ne autentifikuje, pa je tako ne označavajte na dashboardu. Odaberite provjeru koja pada kada se pojavi korisnička žalba.

ICMP je najslabija od tri opcije, jer ga mnogi stogovi odbacuju po politici i neuspjeli ping dokazuje vrlo malo.

Dovedite oba signala u Elastic bez izmišljanja

VPN gateway emituje platformne metrike kao što su izlazni i ulazni bajtovi tunela i brojači ispuštenih paketa, i može slati dijagnostičke zapise u kategorijama uključujući događaje tunela i IKE. Rezultati Connection Monitora stižu preko Azure Monitora kao metrike i preko Log Analytics radnog prostora kao zapisi. Ništa od toga se samo ne pojavljuje u Elastic indeksu. Odaberite jedan podržani pipeline za metrike i jedan za zapise, obično Azure Event Hub ulaz ili Azure Monitor integraciju, i provjerite šta instalirana integracija zaista preuzima prije nego što povjerujete obrascu indeksa.

Zadržite oznake koje omogućavaju operatoru da spoji dva skupa podataka: izvorna krajnja točka, odredište, protokol i port za sondu, te identitet tunela i adresu partnera za gateway.

Provjerite pipeline jednim kontrolisanim događajem, zatim ga potražite u Elasticu i provjerite njegovu vremensku oznaku i oznake resursa. Dokument s pogrešnom vremenskom oznakom gori je od nedostajućeg jer čini zastarjele podatke aktuelnim.

Alarmirajte na razliku, ne na boju

Smisao zadržavanja dva signala su kombinacije. Tunel pao treba da pozove vlasnika mreže; tunel aktivan uz sondu koja pada treba da pozove vlasnika aplikacije; nedostajući rezultat sonde treba da pozove onoga ko posjeduje agenta za praćenje. Spajanje sva tri u jedan crveni panel garantuje da će alarm biti isključen u roku od mjesec dana. Alarmirajte na trajni kvar s prozorom postojanosti, ne na jedan uzorak, i dodajte odvojenu provjeru zdravlja samog ingestijskog pipelinea.

Dashboard pun jučerašnjih uspješnih uzoraka ne treba danas čitati kao zdravu putanju.

Zapisano, ugovor je mali: metrika tunela kaže da je gateway pregovarao, sonda kaže da putanja radi s mjesta gdje korisnici sjede, a zdravlje pipelinea kaže da li je bilo koji odgovor aktuelan. Sve ostalo na dashboardu je komentar.