Azure Site VPN-bewekking: keppel tunnelstatus oan in echte probe

Elk dashboard is grien, de tunnel stiet al alve dagen oan, en de filiaal kin de ynterne applikaasje net laden. Dat is it symptoom wêrom dizze ûntwerp bestiet, en it is gjin bewerkingsflater. Tunnelstatus beantwurdet in fraach oer ûnderhanneling, wylst de brûker in fraach stelt oer in oanfraach dy't fjouwer routingbesluten en in beliedslaach passearret. Jo hawwe beide sinjalen nedich, apart holden, en in manier om se midden yn ’e nacht útinoar te hâlden.

Begjin by it mislearjende symptoom, net by de tunnel

In fêstige befeiligingsassosjaasje betsjut dat de pearen it iens waarden oer in foarstel en kaaien ynstallearren. It betsjut net dat de selektors it subnet dekke dat de brûker nedich hat, dat de fiere kant in weromrûte hat, of dat in fjoermuorre de poarte nei ûntsifering akseptearret. Ferkeat kin ek mislearje oan de filiaalkant fan de tunnel, en dan sjocht Azure hielendal neat en rapportearret perfekte sûnens. De tunnelmetrik is needsaaklik en nea genôch.

Trije tastannen moatte te ûnderskieden wêze: de tunnel is del, de tunnel is oan en de tsjinst mislearret, en de bewerkingsboarne sels is net beskikber.

Set de probe dêr’t de brûkers binne

Foar in applikaasje fan filiaal nei Azure, rin de syntetyske test fan in host yn it wurklêstnetwurk fan de filiaal en rjochtsje dy op it partikuliere HTTPS-yngongspunt dat brûkers echt berikke. In probe dy't fan de gateway lansearre wurdt brûkt in oar boarneadres en faak in oar beliedspaad, dat it kin slagje wylst elke brûker mislearret. Azure Connection Monitor stipet TCP-, ICMP- en HTTP-kontrôles mei testgroepen en drompels, en syn lokale boarnen hawwe agentfoarderingen dy't ferskille fan dy oan de Azure-kant. Kontrolearje de hjoeddeiske stipete opstelling ynstee fan in útfierd klassyk bewerkingsresep fan in blog te kopiearjen.

Hâld de probe smel en saai: ien bestimming, ien poarte, in frekwinsje dy't by de bedriuwsfoardering past, en in eksplisite talittingsregel foar dy boarne.

Kies in kontrôle dy't by de tsjinst past

In TCP-ferbining nei de tsjinstpoarte bewiist ferfierberikberens troch de tunnel en seit neat oer TLS of de applikaasje. In HTTP-kontrôle foeget in statuserwachting ta en fangt in harker dy't ferbiningen akseptearret mar net tsjinje kin, wat de mear foarkommende flater is nei in sertifikaat- of backendferoaring. Gjin fan beide is in autentisearre saaklike transaksje as de test net echt autentisearret, dus label it net sa op it dashboard. Kies de kontrôle dy't mislearret as de klacht fan de brûker bart.

ICMP is de swakste fan de trije, om't in protte stapels it by belied falle litte en in mislearre ping heul min bewiist.

Krij beide sinjalen yn Elastic sûnder se te betinken

De VPN-gateway stjoert platfoarmmetriken lykas tunnel-útgong- en -yngongsbytes en tellers foar pakketferlies, en kin diagnostyske logs stjoere yn kategoryen ynklusyf tunnel- en IKE-eveneminten. Resultaten fan Connection Monitor komme fia Azure Monitor as metriken en fia in Log Analytics-wurkromte as logrecords. Neat dêrfan ferskynt op himsels yn in Elastic-yndeks. Kies ien stipete pipeline foar metriken en ien foar logs, meastentiids de Azure Event Hub-ynfier of de Azure Monitor-yntegraasje, en ferifiearje wat de ynstallearre yntegraasje echt ynnimt foardat jo it yndekspatroan fertrouwe.

Hâld de labels dy't in operator by steat stelle om de beide datasets te ferbinen: boarne-einpunt, bestimming, protokol en poarte foar de probe, en tunnelidentiteit plus peeradres foar de gateway.

Falidearje de pipeline mei ien kontrolearre evenemint, sykje it dan yn Elastic en kontrolearje syn tiidstimpel en boarnelabels. In dokumint mei de ferkearde tiidstimpel is slimmer as in ûntbrekkend, om't it ferâldere gegevens aktueel lykje lit.

Alarmearje op it ferskil, net op de kleur

It punt fan twa sinjalen hâlden is de kombinaasjes. Tunnel del soe de netwurkeigner pagje moatte; tunnel oan mei in mislearjende probe de applikaasjeeigner; in ûntbrekkend proberesultaot dyjinge dy't de bewerkingsagent besit. Alle trije yn ien read paniel gearfoegje garandearret dat it alarm binnen in moanne dimpt wurdt. Alarmearje op oanhâldend mislearjen mei in persistinsjefinster ynstee fan op ien monster, en foegje in aparte kontrôle ta foar de sûnens fan ’e ynnamepipeline sels.

In dashboard fol mei slagge monsters fan juster soe hjoed net as in sûn paad lêzen wurde moatte.

Skreaun is it kontrakt lyts: de tunnelmetrik seit dat de gateway ûnderhannele hat, de probe seit dat it paad wurket fanôf wêr’t brûkers sitte, en de pipeline-sûnens seit oft ien fan beide antwurden aktueel is. Al it oare op it dashboard is kommentaar.