Azure Site VPN-overvågning: par tunnelstatus med en rigtig probe

Hvert dashboard er grønt, tunnelen har været oppe i elleve dage, og filialen kan ikke indlæse den interne applikation. Det er det symptom, dette design findes for, og det er ikke en overvågningsfejl. Tunnelstatus besvarer et spørgsmål om forhandling, mens brugeren spørger om en anmodning, der krydser fire routingbeslutninger og et politiklager. Du har brug for begge signaler, holdt adskilt, og en måde at skelne dem midt om natten.

Start ved det fejlende symptom, ikke ved tunnelen

En etableret sikkerhedsassociation betyder, at parterne blev enige om et forslag og installerede nøgler. Det betyder ikke, at selectorerne dækker det subnet, brugeren har brug for, at den fjerne side har en returrute, eller at en firewall accepterer porten efter dekryptering. Trafik kan også fejle på filialens side af tunnelen, og så ser Azure intet og rapporterer perfekt sundhed. Tunnelmetrikken er nødvendig og aldrig tilstrækkelig.

Tre tilstande skal kunne skelnes: tunnelen er nede, tunnelen er oppe og tjenesten fejler, og overvågningskilden selv er utilgængelig.

Sæt proben der, hvor brugerne er

For en applikation fra filial til Azure skal du køre den syntetiske test fra en vært i filialens workload-netværk og pege den mod det private HTTPS-adgangspunkt, som brugerne faktisk rammer. En probe startet fra gatewayen bruger en anden kildeadresse og ofte en anden politikvej, så den kan bestå, mens hver bruger fejler. Azure Connection Monitor understøtter TCP-, ICMP- og HTTP-tjek med testgrupper og tærskler, og dens lokale kilder har agentkrav, der adskiller sig fra kravene på Azure-siden. Kontroller den aktuelt understøttede opsætning i stedet for at kopiere en udfaset klassisk overvågningsopskrift fra en blog.

Hold proben snæver og kedelig: ét mål, én port, en frekvens der matcher driftskravet, og en eksplicit tilladelsesregel for den kilde.

Vælg et tjek, der matcher tjenesten

En TCP-forbindelse til tjenesteporten beviser transportadgang gennem tunnelen og siger intet om TLS eller applikationen. Et HTTP-tjek tilføjer en statusforventning og fanger en listener, der accepterer forbindelser, men ikke kan betjene, hvilket er den mere almindelige fejl efter en certifikat- eller backend-ændring. Ingen af dem er en autentificeret forretningstransaktion, medmindre testen faktisk autentificerer, så kald den ikke det på dashboardet. Vælg det tjek, der fejler, når brugerens klage opstår.

ICMP er den svageste af de tre, da mange stakke dropper det efter politik, og en mislykket ping beviser meget lidt.

Få begge signaler ind i Elastic uden at opfinde dem

VPN-gatewayen udsender platformsmålinger som tunnel-egress- og ingressbytes og tællere for tabte pakker, og den kan sende diagnostiklogs i kategorier, herunder tunnel- og IKE-hændelser. Resultater fra Connection Monitor ankommer via Azure Monitor som målinger og via et Log Analytics-arbejdsområde som logposter. Intet af det vises i et Elastic-indeks af sig selv. Vælg én understøttet pipeline til målinger og én til logs, normalt Azure Event Hub-inputtet eller Azure Monitor-integrationen, og verificér, hvad den installerede integration faktisk indlæser, før du stoler på indeksmønsteret.

Behold de labels, der lader en operatør forbinde de to datasæt: kildeendepunkt, destination, protokol og port for proben, og tunnelidentitet plus peer-adresse for gatewayen.

Validér pipelinen med én kontrolleret hændelse, søg derefter efter den i Elastic, og kontroller dens tidsstempel og resurselabels. Et dokument med forkert tidsstempel er værre end et manglende, fordi det får forældede data til at se aktuelle ud.

Alarmer på forskellen, ikke på farven

Pointen med at holde to signaler er kombinationerne. Tunnel nede bør page netværksejeren; tunnel oppe med en fejlende probe bør page applikationsejeren; et manglende proberesultat bør page den, der ejer overvågningsagenten. At slå alle tre sammen i ét rødt panel garanterer, at alarmen bliver dæmpet inden for en måned. Alarmer på vedvarende fejl med et persistensvindue i stedet for på en enkelt prøve, og tilføj et separat tjek for selve ingestionspipelinenes sundhed.

Et dashboard fuld af gårsdagens beståede prøver bør ikke læses som en sund vej i dag.

Nedskrevet er kontrakten lille: tunnelmetrikken fortæller, at gatewayen forhandlede, proben fortæller, at vejen virker fra der, hvor brugerne sidder, og pipeline-sundheden fortæller, om et af svarene er aktuelt. Alt andet på dashboardet er kommentar.