Monitoratge de VPN d’Azure Site: aparellar l’estat del túnel amb una sonda real

Cada quadre de comandament és verd, el túnel porta onze dies engegat i la sucursal no pot carregar l’aplicació interna. Aquest és el símptoma per al qual existeix aquest disseny, i no és un error de monitoratge. L’estat del túnel respon una pregunta sobre la negociació, mentre que l’usuari pregunta per una petició que travessa quatre decisions d’encaminament i una capa de polítiques. Calen tots dos senyals, per separat, i una manera de distingir-los a mitja nit.

Comenceu pel símptoma que falla, no pel túnel

Una associació de seguretat establerta vol dir que els parells van acordar una proposta i van instal·lar claus. No vol dir que els selectors cobreixin la subxarxa que necessita l’usuari, que el costat remot tingui una ruta de tornada o que un tallafoc accepti el port després del desxifrat. El trànsit també pot fallar al costat de la sucursal del túnel, i llavors Azure no veu res i informa d’una salut perfecta. La mètrica del túnel és necessària i mai no és suficient.

Cal poder distingir tres estats: el túnel està caigut, el túnel està engegat i el servei falla, i la font de monitoratge mateixa no està disponible.

Poseu la sonda on són els usuaris

Per a una aplicació de sucursal a Azure, executeu la prova sintètica des d’un host a la xarxa de càrrega de treball de la sucursal i apunteu-la al punt d’entrada HTTPS privat que els usuaris fan servir de debò. Una sonda llançada des de la passarel·la fa servir una adreça d’origen diferent i sovint un camí de política diferent, així que pot passar mentre tots els usuaris fallen. Azure Connection Monitor admet comprovacions TCP, ICMP i HTTP amb grups de prova i llindars, i les seves fonts locals tenen requisits d’agent diferents dels de la banda d’Azure. Comproveu la disposició admesa actualment en lloc de copiar una recepta clàssica de monitoratge retirada d’un blog.

Manteniu la sonda estreta i avorrida: una destinació, un port, una freqüència que coincideixi amb el requisit operatiu i una regla d’autorització explícita per a aquesta font.

Trieu una comprovació que encaixi amb el servei

Una connexió TCP al port del servei demostra arribabilitat de transport pel túnel i no diu res sobre TLS ni sobre l’aplicació. Una comprovació HTTP afegeix una expectativa d’estat i detecta un escoltador que accepta connexions però no pot servir, que és la fallada més habitual després d’un canvi de certificat o de backend. Cap de les dues no és una transacció de negoci autenticada si la prova no autentica de veritat, així que no ho etiqueteu així al quadre de comandament. Trieu la comprovació que falla quan es produeix la queixa de l’usuari.

ICMP és l’opció més feble de les tres, perquè moltes piles el descarten per política i un ping fallit demostra molt poc.

Feu arribar tots dos senyals a Elastic sense inventar-los

La passarel·la VPN emet mètriques de plataforma com ara bytes de sortida i entrada del túnel i comptadors de paquets descartats, i pot enviar registres de diagnòstic en categories que inclouen esdeveniments de túnel i IKE. Els resultats de Connection Monitor arriben per Azure Monitor com a mètriques i per un espai de treball de Log Analytics com a registres. Res d’això no apareix per si sol en un índex d’Elastic. Trieu un conducte admès per a les mètriques i un altre per als registres, normalment l’entrada d’Azure Event Hub o la integració d’Azure Monitor, i verifiqueu què ingereix realment la integració instal·lada abans de confiar en el patró d’índex.

Conserveu les etiquetes que permeten a un operador unir els dos conjunts de dades: punt final d’origen, destinació, protocol i port per a la sonda, i identitat del túnel més adreça del parell per a la passarel·la.

Valideu el conducte amb un esdeveniment controlat, després cerqueu-lo a Elastic i comproveu-ne la marca de temps i les etiquetes de recursos. Un document amb una marca de temps incorrecta és pitjor que un de absent, perquè fa que les dades velles semblin actuals.

Alerteu sobre la diferència, no sobre el color

El sentit de mantenir dos senyals són les combinacions. Túnel caigut hauria d’avisar el responsable de xarxa; túnel engegat amb una sonda que falla hauria d’avisar el responsable de l’aplicació; un resultat de sonda absent hauria d’avisar qui posseeix l’agent de monitoratge. Ajuntar els tres en un sol panell vermell garanteix que l’alerta quedi silenciada en un mes. Alerteu sobre una fallada sostinguda amb una finestra de persistència en lloc d’una sola mostra, i afegiu una comprovació separada per a la salut del conducte d’ingestió mateix.

Un quadre de comandament ple de mostres correctes d’ahir no s’hauria de llegir com un camí sa avui.

Escrit, el contracte és petit: la mètrica del túnel diu que la passarel·la ha negociat, la sonda diu que el camí funciona des d’on seuen els usuaris, i la salut del conducte diu si qualsevol de les dues respostes és actual. Tota la resta del quadre de comandament és comentari.