Difinu la VPN-objekton antaŭ ol elekti SNMP aŭ API

Tri decidoj antaŭas la transporton: kiun objekton la alarmo priskribas, kiun direkton kaj amplekson ĝi kovras, kaj kiom freŝa la legado devas esti. SNMP, HTTPS API kaj aplikaĵa sondilo ĉiuj povas raporti ion pri VPN, kaj ili ne raportos la saman aferon. Ŝanĝi protokolojn sen decidi tiujn tri nur ŝanĝas, kie la konfuzo kolektiĝas. La objekto kaj la signifo de la alarmo estas la dezajno; la protokolo estas la liverado.

Panelo, kiu transformas kvar malsamajn observojn en unu verdan ikonon, jam faris tiun decidon malbone.

Kion la alarmo vere devus signifi?

Ĝi povus signifi, ke samtavolano ne povas aŭtentigi, ke ne ekzistas protektita datuma stato, ke itinero montras al la malĝusta loko, aŭ ke aplikaĵo ne povas fini sian laboron. Ĉiu el tiuj havas sian propran posedanton, sian propran unuan kontrolon kaj sian propran indicon de falsaj pozitivoj. Samtavolano, kiu ne povas aŭtentigi, estas identeca problemo, mankanta sekureca asocio estas protokolstata problemo, itinero estas agorda problemo, kaj aplikaĵa fiasko eble ne estas io el tiuj. Decidu, por kiu la alarmo estas, antaŭ ol elekti kolektilon.

Skribu ĝin kiel frazon, laŭ kiu la deĵora inĝeniero povas agi. Se la frazo bezonas du objektojn, tio estas du alarmoj, ne unu duone ĝusta.

TCP-tabelo priskribas TCP

RFC 4022 specifas tcpConnectionTable, kies vicoj priskribas establitajn TCP-konektojn, ŝlositajn laŭ adresotipo, adreso kaj pordo ĉe ambaŭ finoj. Vicoj malaperas, kiam la konekto fermiĝas, kaj aŭskultantaj poŝoj aperas en alia tabelo. Ruli VPN sur la sama maŝino ne transformas TCP-tabelon en inventaron de IPsec-sekurecaj asocioj. Ĝi povas priskribi administran seancon, aplikaĵan fluon aŭ tunelon portatan super TCP, kaj la vico mem ne diros al vi kiun.

Interfacaj nombriloj portas la saman duecon je pli malglata nivelo: bitokoj sur interfaco kunigas ĉiun samtavolanon kaj ĉiun fluon, kiu uzas ĝin.

Konstruu malgrandan observokontrakton

Por ĉiu metriko, registru la subtenatan objekton aŭ API-kampon, la posedan aparaton kaj programversion, la identigilon de samtavolano aŭ servo, la direkton, la kolektan tempon kaj la atendatan refreŝigan konduton. Poste uzu la dokumentitan asocian aŭ seancan vidon de la pordego por protokolstato, la enkursigadan tabelon por vojstato, kaj mallarĝan permesitan peton por aplikaĵstato. Funkcianta administra finpunkto pruvas, ke la administra finpunkto funkcias, kaj nenion pri la aplikaĵo malantaŭ ĝi.

Se la instalita agento mankas la bezonatajn objektojn, elektu alian eksplice subtenatan nurlegan interfacon. Elpensi OID, legi ĝeneralan TCP-nombron kiel tunelnombron, aŭ atendi, ke malnova vendista API restos senŝanĝa en frata produkto, estas ĉiuj sakstratoj.

Malnova datumaro ne estas tunela fiasko

Kolekta tempolimo, eksdata legitimilo aŭ ŝanĝita API-vojo produktas mankantan telemetrion. Tio estas monitora fiasko kaj alia okazaĵo ol tunelo, kiu falis. Registru, kiu observo malnoviĝis kaj kiam, por ke la operatoro ricevu senchavan unuan kontrolon anstataŭ tunelan restarigon. Trakti ĉiun tempolimon kiel VPN-interrompon instruas homojn ignori ambaŭ.

Tenu la kolektajn permesojn mallarĝaj ankaŭ. Interfaco, kiu povas ŝanĝi agordon aŭ viŝi seancojn, portas privilegian limon, kiun monitora tasko ne devus heredi, kaj nurlega konto kutime sufiĉas.

La utila dezajno nomas la objekton, la signifon kaj la freŝecpostulon. Protokolelekto sekvas el tiuj, ne inverse.