Praćenje Azure Site VPN-a: povežite stanje tunela sa stvarnom sondom

Svaka je nadzorna ploča zelena, tunel je aktivan jedanaest dana, a podružnica ne može učitati internu aplikaciju. To je simptom zbog kojeg ovaj dizajn postoji i nije greška u praćenju. Stanje tunela odgovara na pitanje o pregovaranju, dok korisnik pita o zahtjevu koji prolazi kroz četiri odluke usmjeravanja i sloj pravila. Potrebna su oba signala, odvojeno, i način da ih razlikujete u sred noći.

Krenite od simptoma kvara, a ne od tunela

Uspostavljena sigurnosna asocijacija znači da su se strane dogovorile o prijedlogu i instalirale ključeve. Ne znači da selektori pokrivaju podmrežu koja korisniku treba, da udaljena strana ima povratnu rutu ili da vatrozid prihvaća port nakon dešifriranja. Promet može pasti i na strani podružnice, i tada Azure ne vidi ništa i prijavljuje savršeno zdravlje. Metrika tunela nužna je i nikada dovoljna.

Tri stanja moraju se razlikovati: tunel je pao, tunel je aktivan a usluga ne radi, i sam izvor praćenja nije dostupan.

Postavite sondu tamo gdje su korisnici

Za aplikaciju od podružnice prema Azureu pokrenite sintetički test s hosta u radnoj mreži podružnice i usmjerite ga na privatnu HTTPS ulaznu točku koju korisnici doista pogađaju. Sonda pokrenuta s gatewaya rabi drugu izvornu adresu i često drugu putanju pravila, pa može proći dok svaki korisnik pada. Azure Connection Monitor podržava TCP, ICMP i HTTP provjere s testnim grupama i pragovima, a njegovi lokalni izvori imaju zahtjeve za agentom koji se razlikuju od onih na strani Azurea. Provjerite trenutačno podržani raspored umjesto da kopirate zastarjeli recept klasičnog praćenja s bloga.

Držite sondu uskom i dosadnom: jedno odredište, jedan port, učestalost koja odgovara operativnom zahtjevu i izričito pravilo dopuštenja za taj izvor.

Odaberite provjeru koja odgovara usluzi

TCP veza na port usluge dokazuje dostupnost prijevoza kroz tunel i ne govori ništa o TLS-u ni o aplikaciji. HTTP provjera dodaje očekivanje statusa i hvata slušatelja koji prihvaća veze ali ne može posluživati, što je češći kvar nakon promjene certifikata ili pozadinskog sustava. Nijedna nije autentificirana poslovna transakcija ako test doista ne autentificira, pa je tako ne označavajte na nadzornoj ploči. Odaberite provjeru koja pada kada se pojavi korisnička žalba.

ICMP je najslabija od tri mogućnosti, jer ga mnogi stogovi odbacuju prema pravilima i neuspjeli ping dokazuje vrlo malo.

Dovedite oba signala u Elastic bez izmišljanja

VPN gateway emitira platformne metrike poput izlaznih i ulaznih bajtova tunela i brojača ispuštenih paketa, i može slati dijagnostičke zapise u kategorijama uključujući događaje tunela i IKE. Rezultati Connection Monitora dolaze preko Azure Monitora kao metrike i preko radnog prostora Log Analytics kao zapisi. Ništa se od toga samo ne pojavljuje u Elastic indeksu. Odaberite jedan podržani tijek za metrike i jedan za zapise, obično Azure Event Hub ulaz ili Azure Monitor integraciju, i provjerite što instalirana integracija doista preuzima prije nego povjerujete obrascu indeksa.

Zadržite oznake koje omogućuju operateru spajanje dvaju skupova podataka: izvorna krajnja točka, odredište, protokol i port za sondu, te identitet tunela i adresa partnera za gateway.

Provjerite tijek jednim kontroliranim događajem, zatim ga pronađite u Elasticu i provjerite njegovu vremensku oznaku i oznake resursa. Dokument s pogrešnom vremenskom oznakom gori je od nedostajućeg jer zastarjele podatke prikazuje aktualnima.

Alarmirajte na razliku, ne na boju

Smisao dvaju signala su kombinacije. Tunel pao treba pozvati vlasnika mreže; tunel aktivan uz sondu koja pada vlasnika aplikacije; nedostajući rezultat sonde onoga tko posjeduje agenta za praćenje. Spajanje sva tri u jedan crveni panel jamči da će alarm biti isključen u roku od mjeseca. Alarmirajte na trajni kvar s prozorom postojanosti, a ne na jedan uzorak, i dodajte zasebnu provjeru zdravlja samog tijeka unosa.

Nadzorna ploča puna jučerašnjih uspješnih uzoraka ne treba se danas čitati kao zdrava putanja.

Zapisano, ugovor je malen: metrika tunela kaže da je gateway pregovarao, sonda kaže da putanja radi s mjesta gdje korisnici sjede, a zdravlje tijeka kaže je li koji odgovor aktualan. Sve ostalo na nadzornoj ploči komentar je.