Azure Site VPN überwachen: Tunnelstatus mit einer echten Sonde paaren

Jedes Dashboard ist grün, der Tunnel steht seit elf Tagen, und die Filiale kann die interne Anwendung nicht laden. Genau für dieses Symptom existiert dieses Design, und es ist kein Monitoring-Fehler. Der Tunnelstatus beantwortet eine Frage zur Aushandlung, während der Benutzer nach einer Anfrage fragt, die vier Routingentscheidungen und eine Policy-Schicht durchläuft. Sie brauchen beide Signale, getrennt gehalten, und eine Möglichkeit, sie mitten in der Nacht auseinanderzuhalten.

Vom fehlerhaften Symptom ausgehen, nicht vom Tunnel

Eine bestehende Security Association bedeutet, dass sich die Peers auf einen Vorschlag geeinigt und Schlüssel installiert haben. Sie bedeutet nicht, dass die Selektoren das Subnetz abdecken, das der Benutzer braucht, dass die Gegenseite eine Rückroute hat oder dass eine Firewall den Port nach der Entschlüsselung akzeptiert. Der Verkehr kann auch auf der Filialseite des Tunnels scheitern; dann sieht Azure gar nichts und meldet perfekte Gesundheit. Die Tunnelmetrik ist notwendig und nie ausreichend.

Drei Zustände müssen unterscheidbar sein: der Tunnel ist unten, der Tunnel ist oben und der Dienst scheitert, und die Überwachungsquelle selbst ist nicht verfügbar.

Setzen Sie die Sonde dorthin, wo die Benutzer sind

Für eine Filiale-zu-Azure-Anwendung führen Sie den synthetischen Test von einem Host im Workload-Netz der Filiale aus und richten ihn auf den privaten HTTPS-Einstiegspunkt, den Benutzer tatsächlich erreichen. Eine vom Gateway gestartete Sonde nutzt eine andere Quelladresse und oft einen anderen Policy-Pfad, sodass sie bestehen kann, während jeder Benutzer scheitert. Azure Connection Monitor unterstützt TCP-, ICMP- und HTTP-Prüfungen mit Testgruppen und Schwellenwerten, und die lokalen Quellen haben Agent-Anforderungen, die sich von denen auf der Azure-Seite unterscheiden. Prüfen Sie die aktuell unterstützte Variante, statt ein ausgemustertes klassisches Monitor-Rezept aus einem Blog zu kopieren.

Halten Sie die Sonde eng und langweilig: ein Ziel, ein Port, eine Frequenz, die der Betriebsanforderung entspricht, und eine ausdrückliche Erlaubnisregel für diese Quelle.

Wählen Sie eine Prüfung, die zum Dienst passt

Ein TCP-Verbindungsaufbau zum Dienstport beweist die Transport-Erreichbarkeit durch den Tunnel und sagt nichts über TLS oder die Anwendung. Eine HTTP-Prüfung fügt eine Statuserwartung hinzu und erkennt einen Listener, der Verbindungen annimmt, aber nicht bedienen kann – der häufigere Fehler nach einer Zertifikat- oder Backend-Änderung. Keine von beiden ist eine authentifizierte Geschäftstransaktion, solange der Test nicht wirklich authentifiziert; bezeichnen Sie ihn also nicht als solche im Dashboard. Wählen Sie die Prüfung, die scheitert, wenn die Beschwerde des Benutzers auftritt.

ICMP ist die schwächste der drei Optionen, da viele Stacks es per Policy verwerfen und ein fehlgeschlagener Ping sehr wenig beweist.

Bringen Sie beide Signale nach Elastic, ohne sie zu erfinden

Der VPN-Gateway gibt Plattformmetriken wie Tunnel-Ausgangs- und Eingangsbytes und Paketverlustzähler aus und kann Diagnoseprotokolle in Kategorien senden, darunter Tunnel- und IKE-Ereignisse. Ergebnisse von Connection Monitor kommen über Azure Monitor als Metriken und über einen Log Analytics Workspace als Protokolldatensätze an. Nichts davon erscheint von selbst in einem Elastic-Index. Wählen Sie eine unterstützte Pipeline für Metriken und eine für Protokolle, meist die Azure Event Hub-Eingabe oder die Azure Monitor-Integration, und prüfen Sie, was die installierte Integration tatsächlich aufnimmt, bevor Sie dem Indexmuster vertrauen.

Behalten Sie die Labels, mit denen ein Operator die beiden Datensätze verbinden kann: Quell-Endpunkt, Ziel, Protokoll und Port für die Sonde sowie Tunnelidentität und Peer-Adresse für das Gateway.

Validieren Sie die Pipeline mit einem kontrollierten Ereignis, suchen Sie es dann in Elastic und prüfen Sie Zeitstempel und Ressourcen-Labels. Ein Dokument mit falschem Zeitstempel ist schlimmer als ein fehlendes, weil es veraltete Daten aktuell aussehen lässt.

Alarmieren Sie auf den Unterschied, nicht auf die Farbe

Der Sinn zweier Signale liegt in den Kombinationen. Tunnel unten sollte den Netzwerkverantwortlichen alarmieren; Tunnel oben mit scheiternder Sonde den Anwendungsverantwortlichen; ein fehlendes Sondenergebnis den, dem der Überwachungsagent gehört. Alle drei in ein rotes Panel zu werfen garantiert, dass der Alarm innerhalb eines Monats stummgeschaltet wird. Alarmieren Sie auf anhaltendes Scheitern mit einem Persistenzfenster statt auf eine einzelne Stichprobe, und ergänzen Sie eine separate Prüfung für die Gesundheit der Ingestion-Pipeline selbst.

Ein Dashboard voller bestandener Stichproben von gestern sollte heute nicht als gesunder Pfad gelesen werden.

Aufgeschrieben ist der Vertrag klein: Die Tunnelmetrik sagt, dass das Gateway ausgehandelt hat, die Sonde sagt, dass der Pfad von dort funktioniert, wo Benutzer sitzen, und die Pipeline-Gesundheit sagt, ob eine der beiden Antworten aktuell ist. Alles andere im Dashboard ist Kommentar.