Määratlege VPN-objekt enne SNMP või API valimist

Enne transporti on kolm otsust: millist objekti alarm kirjeldab, millist suunda ja ulatust see katab ning kui värske peab lugem olema. SNMP, HTTPS API ja rakenduse sond võivad kõik VPN-i kohta midagi teatada ja nad ei teata sama asja. Protokollide vahetamine ilma nende kolme lahendamiseta muudab ainult seda, kus segadus koguneb. Objekt ja alarmi tähendus on disain; protokoll on kohaletoimetamine.

Armatuurlaud, mis muudab neli erinevat vaatlust üheks roheliseks ikooniks, on selle otsuse juba halvasti teinud.

Mida peaks alarm tegelikult tähendama?

See võib tähendada, et partner ei saa autentida, et kaitstud andmeseisundit ei ole, et marsruut osutab valesse kohta või et rakendus ei saa oma tööd lõpetada. Igal neist on oma omanik, oma esimene kontroll ja oma valepositiivsete määr. Partner, kes ei saa autentida, on identiteediprobleem, puuduv turbekoopia on protokolliseisundi probleem, marsruut on konfiguratsiooniprobleem ja rakenduse tõrge ei pruugi olla ükski neist. Otsustage, mille jaoks alarm on, enne kui valite koguja.

Kirjutage see lausena, mille järgi valves olev insener saab tegutseda. Kui lause vajab kahte objekti, on need kaks alarmi, mitte üks pooleldi õige.

TCP-tabel kirjeldab TCP-d

RFC 4022 määratleb tcpConnectionTable, mille read kirjeldavad loodud TCP-ühendusi, võtmeks aadressitüüp, aadress ja port mõlemas otsas. Read kaovad, kui ühendus sulgub, ja kuulavad soketid ilmuvad teise tabelisse. VPN-i käitamine samas masinas ei muuda TCP-tabelit IPsec-i turbekoopiate loendiks. See võib kirjeldada haldusseanssi, rakenduse voogu või üle TCP kantavat tunnelit ja rida ise ei ütle teile, milline neist.

Liidese loendurid kannavad sama mitmetähenduslikkust jämedamal tasandil: liidese baidid koondavad iga partneri ja iga voo, mis seda kasutab.

Ehitage väike vaatlusleping

Iga mõõdiku kohta registreerige toetatud objekt või API väli, omav seade ja tarkvara versioon, partneri või teenuse identifikaator, suund, kogumisaeg ja eeldatav värskenduskäitumine. Seejärel kasutage protokolliseisundi jaoks lüüsi dokumenteeritud seoste või seansside vaadet, teeseisundi jaoks marsruutimistabelit ja rakenduseseisundi jaoks kitsast lubatud päringut. Töötav halduslõpp-punkt tõestab, et halduslõpp-punkt töötab, ja mitte midagi selle taga oleva rakenduse kohta.

Kui paigaldatud agendil puuduvad nõutavad objektid, valige mõni muu selgesõnaliselt toetatud kirjutuskaitstud liides. OID-i väljamõtlemine, üldise TCP-loenduse lugemine tunneliloendusena või ootus, et vana tarnija API jääb sõsarproduktis muutumatuks, on kõik tupikteed.

Aegunud andmed ei ole tunneli tõrge

Kogumise ajalõpp, aegunud volitus või muudetud API-tee tekitavad puuduva telemeetria. See on jälgimistõrge ja teistsugune juhtum kui langenud tunnel. Registreerige, milline vaatlus aegus ja millal, et operaator saaks sisuka esimese kontrolli tunneli lähtestamise asemel. Iga ajalõpu käsitlemine VPN-i katkestusena õpetab inimesi mõlemat eirama.

Hoidke ka kogumisõigused kitsad. Liides, mis saab konfiguratsiooni muuta või seansse kustutada, kannab privileegipiiri, mida jälgimistöö ei peaks pärima, ja kirjutuskaitstud konto on tavaliselt piisav.

Kasulik disain nimetab objekti, tähenduse ja värskusnõude. Protokolli valik tuleneb neist, mitte vastupidi.