Azure Site VPN -valvonta: parita tunnelin tila oikealla sondilla

Jokainen koontinäyttö on vihreä, tunneli on ollut pystyssä yksitoista päivää, eikä haarakonttori saa sisäistä sovellusta ladattua. Juuri tätä oiretta varten tämä suunnittelu on olemassa, eikä kyse ole valvontavirheestä. Tunnelitila vastaa neuvottelua koskevaan kysymykseen, kun käyttäjä kysyy pyynnöstä, joka kulkee neljän reitityspäätöksen ja käytäntökerroksen läpi. Tarvitset molemmat signaalit erillään ja tavan erottaa ne keskellä yötä.

Aloita epäonnistuvasta oireesta, älä tunnelista

Vakiintunut tietoturvayhteys tarkoittaa, että osapuolet sopivat ehdotuksesta ja asensivat avaimet. Se ei tarkoita, että valitsimet kattavat käyttäjän tarvitseman aliverkon, että vastapuolella on paluureitti tai että palomuuri hyväksyy portin salauksen purkamisen jälkeen. Liikenne voi epäonnistua myös tunnelin haarakontin puolella, jolloin Azure ei näe mitään ja raportoi täydellistä terveyttä. Tunnelimetriikka on välttämätöntä eikä koskaan riittävää.

Kolme tilaa on pystyttävä erottamaan: tunneli on alhaalla, tunneli on ylhäällä ja palvelu epäonnistuu, ja valvontalähde itse ei ole käytettävissä.

Sijoita sondi sinne, missä käyttäjät ovat

Haarakontista Azureen -sovellukselle aja synteettinen testi haarakontin työkuorman verkossa olevalta isännältä ja kohdista se yksityiseen HTTPS-sisäänkäyntiin, jota käyttäjät todella käyttävät. Yhdyskäytävästä käynnistetty sondi käyttää eri lähdeosoitetta ja usein eri käytäntöpolkua, joten se voi mennä läpi, vaikka jokainen käyttäjä epäonnistuu. Azure Connection Monitor tukee TCP-, ICMP- ja HTTP-tarkistuksia testiryhmillä ja kynnysarvoilla, ja sen paikallisilla lähteillä on agenttivaatimukset, jotka eroavat Azure-puolen vaatimuksista. Tarkista nykyinen tuettu järjestely sen sijaan, että kopioisit blogista vanhentuneen klassisen valvontaohjeen.

Pidä sondi kapeana ja tylsänä: yksi kohde, yksi portti, käyttövaatimukseen sopiva taajuus ja nimenomainen sallintasääntö kyseiselle lähteelle.

Valitse tarkistus, joka vastaa palvelua

TCP-yhteys palvelun porttiin todistaa kuljetuksen saavutettavuuden tunnelin läpi eikä kerro mitään TLS:stä tai sovelluksesta. HTTP-tarkistus lisää tilaoletuksen ja nappaa kuuntelijan, joka hyväksyy yhteydet mutta ei pysty palvelemaan, mikä on yleisempi vika sertifikaatin tai taustajärjestelmän muutoksen jälkeen. Kumpikaan ei ole todennettu liiketoimi, ellei testi oikeasti todenta, joten älä merkitse sitä sellaiseksi koontinäytössä. Valitse tarkistus, joka epäonnistuu silloin, kun käyttäjän valitus ilmenee.

ICMP on kolmesta heikoin, koska monet pinot pudottavat sen käytännön vuoksi ja epäonnistunut pingi todistaa hyvin vähän.

Toimita molemmat signaalit Elasticiin niitä keksimättä

VPN-yhdyskäytävä lähettää alustamittareita, kuten tunnelin lähtevät ja saapuvat tavut sekä pakettihäviölaskurit, ja se voi lähettää diagnostiikkalokeja luokissa, joihin kuuluvat tunnelin ja IKE:n tapahtumat. Connection Monitorin tulokset saapuvat Azure Monitorin kautta mittareina ja Log Analytics -työtilan kautta lokitietueina. Mikään siitä ei ilmesty Elastic-indeksiin itsestään. Valitse yksi tuettu putki mittareille ja toinen lokeille, yleensä Azure Event Hub -syöte tai Azure Monitor -integrointi, ja varmista, mitä asennettu integrointi todella vastaanottaa, ennen kuin luotat indeksikuvioon.

Säilytä tunnisteet, joiden avulla operaattori voi yhdistää kaksi aineistoa: lähdepäätepiste, kohde, protokolla ja portti sondille sekä tunnelin identiteetti ja vastapuolen osoite yhdyskäytävälle.

Validoi putki yhdellä kontrolloidulla tapahtumalla, etsi se sitten Elasticistä ja tarkista sen aikaleima ja resurssitunnisteet. Väärällä aikaleimalla varustettu dokumentti on pahempi kuin puuttuva, koska se saa vanhentuneen tiedon näyttämään ajantasaiselta.

Hälytä erotuksesta, älä väristä

Kahden signaalin pidon pointti on yhdistelmissä. Tunneli alhaalla pitäisi soittaa verkon omistajalle; tunneli ylhäällä ja sondi epäonnistuu sovelluksen omistajalle; puuttuva sonditulos sille, joka omistaa valvonta-agentin. Kaikkien kolmen latominen yhteen punaiseen paneeliin takaa, että hälytys vaiennetaan kuukaudessa. Hälytä pitkittyneestä viasta pysyvyysikkunalla yksittäisen näytteen sijaan ja lisää erillinen tarkistus itse tiedonsiirtoputken terveydelle.

Koontinäyttö täynnä eilisen onnistuneita näytteitä ei saisi lukeutua tämän päivän terveeksi poluksi.

Kirjattuna sopimus on pieni: tunnelimetriikka kertoo, että yhdyskäytävä neuvotteli, sondi kertoo, että polku toimii sieltä, missä käyttäjät istuvat, ja putken terveys kertoo, onko kumpi tahansa vastaus ajantasainen. Kaikki muu koontinäytöllä on kommentaaria.