Azure Site VPN-monitorado: parigu tunelan staton kun reala provo

Ĉiu panelo estas verda, la tunelo funkcias de dek unu tagoj, kaj la filio ne povas ŝargi la internan aplikaĵon. Tio estas la simptomo por kiu ekzistas ĉi tiu dezajno, kaj ĝi ne estas monitorada cimo. La tunela stato respondas demandon pri intertraktado, dum la uzanto demandas pri peto kiu trapasas kvar enkursigajn decidojn kaj politikan tavolon. Vi bezonas ambaŭ signalojn, tenatajn aparte, kaj manieron distingi ilin meze de la nokto.

Komencu de la malsukcesa simptomo, ne de la tunelo

Starigita sekureca asocio signifas ke la partneroj interkonsentis pri propono kaj instalis ŝlosilojn. Ĝi ne signifas ke la selektiloj kovras la subreton kiun la uzanto bezonas, ke la malproksima flanko havas revenan vojon, aŭ ke fajromuro akceptas la pordon post malĉifrado. Trafiko ankaŭ povas malsukcesi ĉe la filia flanko de la tunelo, kaj tiam Azure vidas nenion kaj raportas perfektan sanon. La tunela metriko estas necesa kaj neniam sufiĉa.

Tri statoj devas esti distingeblaj: la tunelo estas mallevita, la tunelo estas levita kaj la servo malsukcesas, kaj la monitorada fonto mem ne disponeblas.

Metu la provon tie, kie estas la uzantoj

Por aplikaĵo de filio al Azure, rulu la sintetikan teston de gastiganto en la laborkvanta reto de la filio kaj direktu ĝin al la privata HTTPS-enirpunkto kiun uzantoj efektive trafas. Provo lanĉita de la pordego uzas alian fontan adreson kaj ofte alian politikan vojon, do ĝi povas sukcesi dum ĉiu uzanto malsukcesas. Azure Connection Monitor subtenas TCP-, ICMP- kaj HTTP-kontrojn kun testgrupoj kaj sojloj, kaj ĝiaj surlokaj fontoj havas agentajn postulojn malsamajn de tiuj sur la Azure-flanko. Kontrolu la nuntempe subtenatan aranĝon anstataŭ kopii eksvalidigitan klasikan monitoradan recepton el blogo.

Tenu la provon mallarĝa kaj enuiga: unu celo, unu pordo, ofteco kongrua kun la operacia postulo, kaj eksplicita permesa regulo por tiu fonto.

Elektu kontron kongruan kun la servo

TCP-konekto al la serva pordo pruvas transportan atingeblecon tra la tunelo kaj diras nenion pri TLS aŭ la aplikaĵo. HTTP-kontro aldonas statusan atendojn kaj kaptas aŭskultanton kiu akceptas konektojn sed ne povas servi, kio estas la pli ofta fiasko post ŝanĝo de atestilo aŭ malantaŭaĵo. Neniu el ili estas aŭtentikigita komerca transakcio se la testo ne vere aŭtentikigas, do ne etikedi ĝin tiel en la panelo. Elektu la kontron kiu malsukcesas kiam okazas la plendo de la uzanto.

ICMP estas la plej malforta el la tri, ĉar multaj stakoj forĵetas ĝin laŭ politiko kaj malsukcesa pingo pruvas tre malmulte.

Alportu ambaŭ signalojn en Elastic sen elpensi ilin

La VPN-pordego elsendas platformajn metrikojn kiel elirajn kaj enirajn bajtojn de la tunelo kaj nombrilojn de forĵetitaj pakaĵoj, kaj povas sendi diagnozajn protokolojn en kategorioj inkluzive de tunelaj kaj IKE-eventoj. Rezultoj de Connection Monitor alvenas per Azure Monitor kiel metrikoj kaj per Log Analytics-laborspaco kiel protokolaj rikordoj. Nenio el tio aperas mem en Elastic-indekso. Elektu unu subtenatan tubaron por metrikoj kaj unu por protokoloj, kutime la enigon Azure Event Hub aŭ la integriĝon Azure Monitor, kaj kontrolu kion la instalita integriĝo efektive ensorbas antaŭ ol fidi la indeksan ŝablonon.

Konservu la etikedojn kiuj permesas al operatoro kunigi la du datumarojn: fonta finpunkto, celo, protokolo kaj pordo por la provo, kaj tunela identeco plus partnera adreso por la pordego.

Validigu la tubaron per unu kontrolita evento, poste serĉu ĝin en Elastic kaj kontrolu ĝian tempostampon kaj rimedajn etikedojn. Dokumento kun malĝusta tempostampo estas pli malbona ol mankanta, ĉar ĝi igas malnovajn datumojn aspekti aktualaj.

Alertu pri la diferenco, ne pri la koloro

La senco teni du signalojn estas la kombinaĵoj. Tunelo mallevita devus veki la retposedanton; tunelo levita kun malsukcesa provo la aplikaĵposedanton; mankanta prova rezulto tiun, kiu posedas la monitoradan agenton. Kunfandi ĉiujn tri en unu ruĝan panelon garantias ke la alarmo estos silentigita ene de monato. Alertu pri daŭra fiasko kun persisteca fenestro anstataŭ pri unuopa specimeno, kaj aldonu apartan kontron pri la sano de la ensorba tubaro mem.

Panelo plena de hieraŭaj sukcesaj specimenoj ne devus legiĝi kiel sana vojo hodiaŭ.

Skribe, la kontrakto estas malgranda: la tunela metriko diras ke la pordego intertraktis, la provo diras ke la vojo funkcias de tie, kie sidas uzantoj, kaj la tubara sano diras ĉu iu el la du respondoj estas aktuala. Ĉio alia en la panelo estas komentario.