Παρακολούθηση VPN του Azure Site: συνδυάστε την κατάσταση της σήραγγας με πραγματικό έλεγχο

Κάθε πίνακας ελέγχου είναι πράσινος, η σήραγγα είναι ενεργή εδώ και έντεκα ημέρες, και το υποκατάστημα δεν μπορεί να φορτώσει την εσωτερική εφαρμογή. Αυτό είναι το σύμπτωμα για το οποίο υπάρχει αυτός ο σχεδιασμός, και δεν είναι σφάλμα παρακολούθησης. Η κατάσταση της σήραγγας απαντά σε ερώτηση για τη διαπραγμάτευση, ενώ ο χρήστης ρωτά για ένα αίτημα που περνά από τέσσερις αποφάσεις δρομολόγησης και ένα επίπεδο πολιτικής. Χρειάζεστε και τα δύο σήματα, χωριστά, και τρόπο να τα ξεχωρίζετε στη μέση της νύχτας.

Ξεκινήστε από το σύμπτωμα της αποτυχίας, όχι από τη σήραγγα

Μια εδραιωμένη ένωση ασφαλείας σημαίνει ότι οι ομότιμοι συμφώνησαν σε μια πρόταση και εγκατέστησαν κλειδιά. Δεν σημαίνει ότι οι επιλογείς καλύπτουν το υποδίκτυο που χρειάζεται ο χρήστης, ότι η απομακρυσμένη πλευρά έχει διαδρομή επιστροφής ή ότι ένα τείχος προστασίας δέχεται τη θύρα μετά την αποκρυπτογράφηση. Η κίνηση μπορεί να αποτύχει και στην πλευρά του υποκαταστήματος, οπότε το Azure δεν βλέπει τίποτα και αναφέρει τέλεια υγεία. Η μετρική της σήραγγας είναι απαραίτητη και ποτέ αρκετή.

Τρεις καταστάσεις πρέπει να διακρίνονται: η σήραγγα είναι κάτω, η σήραγγα είναι πάνω και η υπηρεσία αποτυγχάνει, και η ίδια η πηγή παρακολούθησης δεν είναι διαθέσιμη.

Τοποθετήστε τον έλεγχο εκεί που βρίσκονται οι χρήστες

Για μια εφαρμογή από υποκατάστημα προς Azure, εκτελέστε τον συνθετικό έλεγχο από έναν κεντρικό υπολογιστή στο δίκτυο φόρτου εργασίας του υποκαταστήματος και στοχεύστε το ιδιωτικό σημείο εισόδου HTTPS που πραγματικά χτυπούν οι χρήστες. Ένας έλεγχος που ξεκινά από την πύλη χρησιμοποιεί διαφορετική διεύθυνση προέλευσης και συχνά διαφορετική διαδρομή πολιτικής, οπότε μπορεί να περάσει ενώ κάθε χρήστης αποτυγχάνει. Το Azure Connection Monitor υποστηρίζει ελέγχους TCP, ICMP και HTTP με ομάδες δοκιμών και κατώφλια, και οι τοπικές πηγές του έχουν απαιτήσεις παράγοντα που διαφέρουν από εκείνες της πλευράς Azure. Ελέγξτε την τρέχουσα υποστηριζόμενη διάταξη αντί να αντιγράψετε μια αποσυρμένη κλασική συνταγή παρακολούθησης από ένα ιστολόγιο.

Κρατήστε τον έλεγχο στενό και βαρετό: ένας προορισμός, μία θύρα, συχνότητα που ταιριάζει με την επιχειρησιακή απαίτηση και ένας ρητός κανόνας αποδοχής για αυτή την πηγή.

Επιλέξτε έλεγχο που ταιριάζει στην υπηρεσία

Μια σύνδεση TCP στη θύρα της υπηρεσίας αποδεικνύει προσβασιμότητα μεταφοράς μέσω της σήραγγας και δεν λέει τίποτα για το TLS ή την εφαρμογή. Ένας έλεγχος HTTP προσθέτει μια προσδοκία κατάστασης και πιάνει έναν ακροατή που δέχεται συνδέσεις αλλά δεν μπορεί να εξυπηρετήσει, που είναι η συχνότερη αποτυχία μετά από αλλαγή πιστοποιητικού ή backend. Κανένας από τους δύο δεν είναι πιστοποιημένη επιχειρηματική συναλλαγή αν ο έλεγχος δεν πιστοποιεί πραγματικά, οπότε μην το χαρακτηρίζετε έτσι στον πίνακα. Επιλέξτε τον έλεγχο που αποτυγχάνει όταν εμφανίζεται το παράπονο του χρήστη.

Το ICMP είναι η πιο αδύναμη από τις τρεις επιλογές, αφού πολλές στοίβες το απορρίπτουν βάσει πολιτικής και ένα αποτυχημένο ping αποδεικνύει ελάχιστα.

Φέρτε και τα δύο σήματα στο Elastic χωρίς να τα επινοήσετε

Η πύλη VPN εκπέμπει μετρικές πλατφόρμας όπως byte εξόδου και εισόδου της σήραγγας και μετρητές απόρριψης πακέτων, και μπορεί να στέλνει διαγνωστικά αρχεία καταγραφής σε κατηγορίες που περιλαμβάνουν συμβάντα σήραγγας και IKE. Τα αποτελέσματα του Connection Monitor φτάνουν μέσω του Azure Monitor ως μετρικές και μέσω ενός χώρου εργασίας Log Analytics ως εγγραφές καταγραφής. Τίποτα από αυτά δεν εμφανίζεται μόνο του σε ευρετήριο Elastic. Επιλέξτε έναν υποστηριζόμενο αγωγό για μετρικές και έναν για αρχεία καταγραφής, συνήθως την είσοδο Azure Event Hub ή την ενσωμάτωση Azure Monitor, και επαληθεύστε τι πραγματικά προσλαμβάνει η εγκατεστημένη ενσωμάτωση πριν εμπιστευτείτε το μοτίβο ευρετηρίου.

Διατηρήστε τις ετικέτες που επιτρέπουν σε έναν χειριστή να συνενώσει τα δύο σύνολα δεδομένων: τελικό σημείο προέλευσης, προορισμός, πρωτόκολλο και θύρα για τον έλεγχο, και ταυτότητα σήραγγας συν διεύθυνση ομοτίμου για την πύλη.

Επικυρώστε τον αγωγό με ένα ελεγχόμενο συμβάν, έπειτα αναζητήστε το στο Elastic και ελέγξτε τη χρονική σφραγίδα και τις ετικέτες πόρων του. Ένα έγγραφο με λάθος χρονική σφραγίδα είναι χειρότερο από ένα που λείπει, γιατί κάνει τα παλιά δεδομένα να φαίνονται πρόσφατα.

Ειδοποιήστε για τη διαφορά, όχι για το χρώμα

Το νόημα του να κρατάτε δύο σήματα είναι οι συνδυασμοί. Σήραγγα κάτω πρέπει να ειδοποιεί τον ιδιοκτήτη του δικτύου· σήραγγα πάνω με αποτυχημένο έλεγχο τον ιδιοκτήτη της εφαρμογής· ένα αποτέλεσμα ελέγχου που λείπει τον ιδιοκτήτη του παράγοντα παρακολούθησης. Η συγχώνευση και των τριών σε ένα κόκκινο πλαίσιο εγγυάται ότι η ειδοποίηση θα σιωπήσει μέσα σε ένα μήνα. Ειδοποιήστε για παρατεταμένη αποτυχία με παράθυρο επιμονής και όχι για ένα δείγμα, και προσθέστε ξεχωριστό έλεγχο για την υγεία του ίδιου του αγωγού πρόσληψης.

Ένας πίνακας γεμάτος περασμένα δείγματα του χθες δεν πρέπει να διαβάζεται ως υγιής διαδρομή σήμερα.

Γραπτά, το συμβόλαιο είναι μικρό: η μετρική της σήραγγας λέει ότι η πύλη διαπραγματεύτηκε, ο έλεγχος λέει ότι η διαδρομή λειτουργεί από εκεί που κάθονται οι χρήστες, και η υγεία του αγωγού λέει αν κάποια από τις δύο απαντήσεις είναι πρόσφατη. Όλα τα άλλα στον πίνακα είναι σχόλιο.