Definirajte VPN objekat prije nego što odaberete SNMP ili API

Prije transporta dolaze tri odluke: koji objekat alarm opisuje, koji smjer i obim pokriva i koliko svježe očitanje mora biti. SNMP, HTTPS API i aplikacijska proba mogu svi prijaviti nešto o VPN-u i neće prijaviti istu stvar. Zamjena protokola bez rješavanja tih tri stvari mijenja samo mjesto gdje se skuplja zbrka. Objekat i značenje alarma su dizajn; protokol je dostava.

Nadzorna ploča koja četiri različita opažanja pretvara u jednu zelenu ikonu već je tu odluku donijela loše.

Šta alarm zapravo treba da znači?

Može značiti da se partner ne može autentificirati, da ne postoji zaštićeno stanje podataka, da ruta pokazuje na pogrešno mjesto ili da aplikacija ne može završiti svoj posao. Svako od toga ima svog vlasnika, svoju prvu provjeru i svoju stopu lažnih pozitiva. Partner koji se ne može autentificirati je problem identiteta, nedostajuća sigurnosna asocijacija je problem stanja protokola, ruta je problem konfiguracije, a kvar aplikacije možda nije ništa od toga. Odlučite za koje je alarm prije nego što odaberete kolektor.

Napišite ga kao rečenicu na koju dežurni inženjer može postupiti. Ako rečenica traži dva objekta, to su dva alarma, a ne jedan koji je napola tačan.

TCP tablica opisuje TCP

RFC 4022 specificira tcpConnectionTable, čiji redovi opisuju uspostavljene TCP veze, s ključem po tipu adrese, adresi i portu na oba kraja. Redovi nestaju kada se veza zatvori, a socketi koji slušaju pojavljuju se u drugoj tablici. Pokretanje VPN-a na istoj mašini ne pretvara TCP tablicu u inventar IPsec sigurnosnih asocijacija. Može opisivati upravljačku sesiju, aplikacijski tok ili tunel prenošen preko TCP-a, a sam red vam neće reći koji.

Brojači interfejsa nose istu dvosmislenost na grubljem nivou: bajtovi na interfejsu objedinjuju svakog partnera i svaki tok koji ga koristi.

Izgradite mali ugovor o opažanju

Za svaku metriku zabilježite podržani objekat ili API polje, vlasnički uređaj i verziju softvera, identifikator partnera ili servisa, smjer, vrijeme prikupljanja i očekivano ponašanje osvježavanja. Zatim koristite dokumentovani prikaz asocijacija ili sesija gejta za stanje protokola, tablicu rutiranja za stanje putanje i uski dozvoljeni zahtjev za stanje aplikacije. Radna upravljačka krajnja tačka dokazuje da upravljačka krajnja tačka radi i ništa o aplikaciji iza nje.

Ako instalirani agent nema potrebne objekte, odaberite drugo eksplicitno podržano interfejs samo za čitanje. Izmišljanje OID-a, čitanje opšteg TCP broja kao broja tunela ili očekivanje da stari API dobavljača ostane nepromijenjen u srodnom proizvodu su svi ćorsokaci.

Zastarjeli podaci nisu kvar tunela

Vremensko ograničenje prikupljanja, istekao akreditiv ili promijenjena API putanja proizvode telemetriju koja nedostaje. To je kvar nadzora i druga vrsta incidenta od tunela koji je pao. Zabilježite koje je opažanje zastarjelo i kada, da bi operater dobio smislenu prvu provjeru umjesto resetovanja tunela. Tretiranje svakog vremenskog ograničenja kao VPN prekida uči ljude da ignorišu oboje.

Držite i dozvole za prikupljanje uskim. Interfejs koji može mijenjati konfiguraciju ili brisati sesije nosi granicu privilegija koju nadzorni posao ne bi trebao naslijediti, a račun samo za čitanje obično je dovoljan.

Koristan dizajn imenuje objekat, značenje i zahtjev za svježinom. Izbor protokola slijedi iz toga, a ne obrnuto.