Monitorování Azure Site VPN: spárujte stav tunelu se skutečnou sondou

Každý dashboard je zelený, tunel běží jedenáct dní a pobočka nemůže načíst interní aplikaci. To je symptom, pro který tento návrh existuje, a není to chyba monitorování. Stav tunelu odpovídá na otázku o vyjednávání, zatímco uživatel se ptá na požadavek, který prochází čtyřmi rozhodnutími o směrování a vrstvou zásad. Potřebujete oba signály, oddělené, a způsob, jak je rozeznat uprostřed noci.

Začněte od selhávajícího symptomu, ne od tunelu

Ustavená bezpečnostní asociace znamená, že se partneři dohodli na návrhu a nainstalovali klíče. Neznamená to, že selektory pokrývají podsíť, kterou uživatel potřebuje, že vzdálená strana má zpáteční trasu nebo že firewall přijme port po dešifrování. Provoz může selhat i na pobočkové straně tunelu, a pak Azure nevidí nic a hlásí dokonalé zdraví. Metrika tunelu je nutná a nikdy nestačí.

Je třeba rozlišit tři stavy: tunel je dole, tunel je nahoře a služba selhává, a samotný zdroj monitorování není dostupný.

Umístěte sondu tam, kde jsou uživatelé

U aplikace z pobočky do Azure spouštějte syntetický test z hostitele v pracovní síti pobočky a mířete jej na privátní vstupní bod HTTPS, který uživatelé skutečně používají. Sonda spuštěná z brány používá jinou zdrojovou adresu a často jinou cestu zásad, takže může projít, zatímco každý uživatel selhává. Azure Connection Monitor podporuje kontroly TCP, ICMP a HTTP se testovacími skupinami a prahovými hodnotami a jeho místní zdroje mají požadavky na agenta odlišné od těch na straně Azure. Ověřte aktuálně podporované uspořádání, místo abyste kopírovali vyřazený klasický recept na monitorování z blogu.

Držte sondu úzkou a nudnou: jeden cíl, jeden port, frekvence odpovídající provoznímu požadavku a výslovné pravidlo povolení pro tento zdroj.

Vyberte kontrolu, která odpovídá službě

TCP spojení na port služby prokazuje dosažitelnost transportu tunelem a nic neříká o TLS nebo aplikaci. Kontrola HTTP přidává očekávání stavu a zachytí listener, který přijímá spojení, ale nedokáže obsluhovat, což je častější selhání po změně certifikátu nebo backendu. Ani jedna není autentizovaná obchodní transakce, pokud test skutečně neautentizuje, takže ji tak na dashboardu neoznačujte. Vyberte kontrolu, která selže, když nastane stížnost uživatele.

ICMP je nejslabší ze tří možností, protože mnoho stacků ho podle zásad zahazuje a neúspěšný ping prokazuje velmi málo.

Dostaňte oba signály do Elastic, aniž byste si je vymýšleli

Brána VPN vydává platformní metriky, jako jsou bajty na výstupu a vstupu tunelu a počítadla zahozených paketů, a může odesílat diagnostické protokoly v kategoriích včetně událostí tunelu a IKE. Výsledky Connection Monitor přicházejí přes Azure Monitor jako metriky a přes pracovní prostor Log Analytics jako záznamy protokolu. Nic z toho se samo neobjeví v indexu Elastic. Zvolte jeden podporovaný kanál pro metriky a jeden pro protokoly, obvykle vstup Azure Event Hub nebo integraci Azure Monitor, a ověřte, co nainstalovaná integrace skutečně přijímá, než vzorci indexu uvěříte.

Zachovejte štítky, které operátorovi umožní spojit oba soubory dat: zdrojový koncový bod, cíl, protokol a port pro sondu a identitu tunelu plus adresu partnera pro bránu.

Ověřte kanál jednou řízenou událostí, poté ji vyhledejte v Elastic a zkontrolujte její časové razítko a štítky prostředků. Dokument s nesprávným časovým razítkem je horší než chybějící, protože dělá zastaralá data aktuálními.

Alerujte na rozdíl, ne na barvu

Smyslem dvou signálů jsou kombinace. Tunel dole má volat vlastníka sítě; tunel nahoře se selhávající sondou vlastníka aplikace; chybějící výsledek sondy toho, kdo vlastní monitorovacího agenta. Sloučení všech tří do jednoho červeného panelu zaručí, že alert bude do měsíce ztlumen. Alerujte na přetrvávající selhání s oknem trvalosti, nikoli na jediný vzorek, a přidejte samostatnou kontrolu zdraví samotného ingestního kanálu.

Dashboard plný včerejších úspěšných vzorků by se dnes neměl číst jako zdravá cesta.

Zapsáno je smlouva malá: metrika tunelu říká, že brána vyjednala, sonda říká, že cesta funguje odtamtud, kde sedí uživatelé, a zdraví kanálu říká, zda je některá z odpovědí aktuální. Vše ostatní na dashboardu je komentář.