Azure Site VPN-i monitooring: siduge tunnel olekut päris sondiga

Iga armatuurlaud on roheline, tunnel on olnud üleval üksteist päeva ja harukontor ei saa sisemist rakendust laadida. See on sümptom, mille jaoks see disain eksisteerib, ja see pole monitooringu viga. Tunneli olek vastab küsimusele läbirääkimiste kohta, samal ajal kui kasutaja küsib päringu kohta, mis läbib neli marsruutimisotsust ja poliitikakihi. Vaja on mõlemat signaali, eraldi hoituna, ja viisi nende eristamiseks keset ööd.

Alustage ebaõnnestuvast sümptomist, mitte tunnelist

Kehtestatud turvaassotsiatsioon tähendab, et osapooled leppisid kokku ettepanekus ja paigaldasid võtmed. See ei tähenda, et selektorid katavad kasutajale vajaliku alamvõrgu, et kaugpoolel on tagasitee või et tulemüür aktsepteerib pordi pärast dekrüpteerimist. Liiklus võib ebaõnnestuda ka tunneli harukontori poolel, ja siis ei näe Azure midagi ning teatab täiuslikust tervisest. Tunneli mõõdik on vajalik ja kunagi piisav.

Kolm olekut peavad olema eristatavad: tunnel on maas, tunnel on üleval ja teenus ebaõnnestub, ning monitooringu allikas ise pole saadaval.

Pange sond sinna, kus on kasutajad

Harukontorist Azure'i rakenduse jaoks käivitage sünteetiline test harukontori töökoormuse võrgus olevast hostist ja suunake see privaatsele HTTPS-i sisenemispunktile, kuhu kasutajad tegelikult jõuavad. Lüüsist käivitatud sond kasutab teist lähteaadressi ja sageli teist poliitikateed, mistõttu võib see läbi minna, samal ajal kui iga kasutaja ebaõnnestub. Azure Connection Monitor toetab TCP, ICMP ja HTTP kontrolle testgruppide ja lävenditega ning selle kohalikel allikatel on agendinõuded, mis erinevad Azure'i poole omadest. Kontrollige praegu toetatud lahendust, selle asemel et kopeerida blogist vananenud klassikalise monitooringu retsepti.

Hoidke sond kitsas ja igav: üks sihtkoht, üks port, töönõudega sobiv sagedus ja selle allika jaoks selgesõnaline lubamisreegel.

Valige kontroll, mis teenusega sobib

TCP-ühendus teenuse pordiga tõestab transpordi kättesaadavust läbi tunneli ega ütle midagi TLS-i ega rakenduse kohta. HTTP-kontroll lisab olekuootuse ja püüab kinni kuulaja, mis võtab ühendusi vastu, kuid ei suuda teenindada, mis on sagedasem tõrge pärast sertifikaadi või taustaprogrammi muutust. Kumbki pole autenditud äritehing, kui test tegelikult ei autenti, seega ärge märgistage seda armatuurlaual sellisena. Valige kontroll, mis ebaõnnestub siis, kui kasutaja kaebus ilmneb.

ICMP on kolmest nõrgim valik, sest paljud virnad viskavad selle poliitika järgi kõrvale ja ebaõnnestunud ping tõestab väga vähe.

Tooge mõlemad signaalid Elasticusse neid välja mõtlemata

VPN-i lüüs väljastab platvormi mõõdikuid, nagu tunneli väljund- ja sisendbaidid ning paketikadude loendurid, ja suudab saata diagnostikalogisid kategooriates, mis hõlmavad tunneli- ja IKE-sündmusi. Connection Monitori tulemused saabuvad Azure Monitori kaudu mõõdikutena ja Log Analyticsi tööruumi kaudu logikirjetena. Miski sellest ei ilmu Elasticu indeksisse iseenesest. Valige mõõdikute jaoks üks toetatud konveier ja logide jaoks teine, tavaliselt Azure Event Hubi sisend või Azure Monitori integratsioon, ning kontrollige, mida paigaldatud integratsioon tegelikult vastu võtab, enne kui indeksimustrit usaldate.

Säilitage sildid, mis võimaldavad operaatoril kaks andmekogumit ühendada: sondi jaoks lähte lõpp-punkt, sihtkoht, protokoll ja port ning lüüsi jaoks tunneli identiteet ja partneri aadress.

Valideerige konveier ühe kontrollitud sündmusega, seejärel otsige seda Elasticust ja kontrollige selle ajatemplit ja ressursisilte. Vale ajatempliga dokument on hullem kui puuduv, sest paneb vananenud andmed praegusena näima.

Häireteavituse aluseks olgu erinevus, mitte värv

Kahe signaali hoidmise mõte on kombinatsioonides. Tunnel maas peaks kutsutama võrguomanikku; tunnel üleval ja sond ebaõnnestub peaks kutsutama rakenduse omanikku; puuduv sonditulemus peaks kutsutama monitooringuagendi omanikku. Kõigi kolme liitmine ühte punasesse paneeli tagab, et häire vaigistatakse kuu aja jooksul. Andke häiret püsiva tõrke korral püsivusaknaga, mitte üksiku valimi põhjal, ja lisage eraldi kontroll andmete vastuvõtu konveieri enda tervise kohta.

Eilsete õnnestunud valimitega täidetud armatuurlaud ei tohiks täna lugeda tervena teeks.

Kirja panduna on leping väike: tunneli mõõdik ütleb, et lüüs pidas läbirääkimisi, sond ütleb, et tee töötab sealt, kus kasutajad istuvad, ja konveieri tervis ütleb, kas kumbki vastus on ajakohane. Kõik muu armatuurlaual on kommentaar.