¿Dónde están los registros de Azure Point-to-Site VPN? Mire en Monitor

Un usuario no puede conectarse a la puerta de enlace de punto a sitio, usted abre la hoja de la puerta de enlace y no hay ningún historial de conexiones en la página. Configuración, certificados, estado: todo presente, ningún registro. Los registros existen, pero las páginas de red no los producen en absoluto. Provienen de una configuración de diagnóstico asociada al recurso de la puerta de enlace, y esa configuración vive en Monitor; por eso la primera búsqueda en el lugar obvio no devuelve nada y la gente concluye que el servicio no guarda ningún rastro de auditoría.

Por qué falla la búsqueda obvia

Las guías antiguas afirman que Azure Point-to-Site VPN no tiene auditoría, y eso era cierto cuando el servicio no exponía ningún registro por conexión. Las puertas de enlace actuales publican registros de diagnóstico del túnel, así que la pregunta útil cambió: no si existen registros, sino qué recurso los emite y qué categoría activó. La hoja de la puerta de enlace es una superficie de configuración, y las superficies de configuración rara vez sirven también como visores de registros. Una configuración de diagnóstico es un objeto por recurso, así que el recurso que elija determina todo lo que sigue.

La otra mitad de la confusión es la autenticación. Las conexiones de punto a sitio basadas en certificados no generan un evento de inicio de sesión por usuario como hace un proveedor de identidad, así que no hay registro de una persona concreta escribiendo una contraseña.

Asocie la configuración de diagnóstico al recurso de la puerta de enlace

Abra Monitor, luego Diagnostic settings, y añada una configuración nueva cuyo destino sea la propia puerta de enlace de red virtual y no la red virtual que la contiene. Seleccione la categoría de diagnóstico de punto a sitio, la llamada P2SDiagnosticLog, porque es la que transporta los registros de conexión por cliente; añada las categorías de túnel, ruta o IKE solo para los errores de sitio a sitio que cubren. Luego envíe los datos a un área de trabajo de Log Analytics que usted controle, con un período de retención que haya elegido a propósito. La mayoría de las búsquedas fallidas son una configuración asociada al recurso equivocado, no una función que falte.

Las listas de categorías varían según el tipo y la generación de la puerta de enlace. Si la categoría de punto a sitio no aparece, puede que la puerta de enlace sea anterior a la función o ejecute una SKU que nunca la emite, así que compruebe las categorías admitidas antes de buscar un problema de permisos. Una puerta de enlace sin categoría de punto a sitio no está rota; simplemente no puede ser el origen de ese registro, y el sustituto más cercano es la categoría de túnel o IKE, que registra la dirección del cliente aunque no describa una sesión de punto a sitio. Confirme la lista de categorías antes de abrir un caso de soporte sobre registros que faltan.

Lea los registros en la tabla que use su modo

Con el modo de recopilación heredado, las entradas van a la tabla AzureDiagnostics y la categoría aparece como valor de columna; con tablas específicas del recurso, la puerta de enlace tiene su propia tabla. En cualquier caso, consulte por el recurso de la puerta de enlace y una ventana alrededor del intento fallido, y luego lea la correlación en lugar de las filas individuales:

AzureDiagnostics
| where ResourceType == "VIRTUALNETWORKGATEWAYS"
| where _ResourceId has "gateway-name"
| where TimeGenerated > ago(2h)
| project TimeGenerated, Category, OperationName, ResultType, ResultDescription
| order by TimeGenerated desc

El conjunto de columnas sigue su modo de recopilación, así que trate la consulta como una forma y no como un script. Lo que busca es una dirección de cliente que aparece y luego desaparece, con un tipo de resultado que no es éxito.

Empareje el registro de la puerta de enlace con la visión del cliente

Los registros de la puerta de enlace describen el túnel, no por qué un portátil no pudo construir uno. Recoja el lado del cliente en la misma marca de tiempo: el registro de eventos de Windows para el cliente RAS, el registro de conexiones de macOS o el texto de error que mostró la aplicación cliente. Un registro de la puerta de enlace sin un intento de cliente correspondiente apunta al cliente; un cliente que informa de éxito mientras la puerta de enlace no registra nada suele significar que el perfil apunta a otra puerta de enlace.

Mantenga ambas mitades en el mismo ticket. Un registro de la puerta de enlace por sí solo invita a la conclusión equivocada, y un registro del cliente por sí solo no puede mostrar si el paquete llegó alguna vez.

Si no aparece nada en ninguno de los dos sitios, compruebe el reloj del cliente antes de dudar de la plataforma. Las marcas de tiempo desviadas hacen que la correlación falle de una forma que parece exactamente datos que faltan.

Retención, alcance y la entrada del runbook

Los registros del túnel llevan direcciones de cliente y marcas de tiempo de conexión, así que trátelos como datos personales con un calendario de supresión en lugar de dejar el valor predeterminado de la plataforma. Compruebe también que el área de trabajo no esté ingiriendo todas las categorías de todos los recursos de la suscripción, porque un área de trabajo ruidosa hace la correlación más lenta que leer directamente el registro del cliente.

Por último, escriba el nombre de la configuración, el área de trabajo y las categorías elegidas en el runbook de la puerta de enlace. La próxima persona que depure un cliente mirará primero la hoja de la puerta de enlace, no encontrará nada y concluirá que los registros no existen.