Azure Site VPN-felügyelet: párosítsa az alagút állapotát valódi próbával

Minden irányítópult zöld, az alagút tizenegy napja áll, és a fióktelep nem tudja betölteni a belső alkalmazást. Ez az a tünet, amelyre ez a terv készült, és nem felügyeleti hiba. Az alagút állapota az egyeztetésről szóló kérdésre válaszol, miközben a felhasználó egy négy útválasztási döntésen és egy házirendrétegen átmenő kérésről kérdez. Mindkét jelre szükség van, külön tartva, és módra, hogy hajnalban megkülönböztesse őket.

A hibás tünettel kezdje, ne az alagúttal

A létrejött biztonsági társulás azt jelenti, hogy a felek megállapodtak egy javaslatban és kulcsokat telepítettek. Nem jelenti azt, hogy a szelektorok lefedik a felhasználónak szükséges alhálózatot, hogy a távoli oldalnak van visszaútvonala, vagy hogy egy tűzfal elfogadja a portot a visszafejtés után. A forgalom a fióktelep oldalán is meghiúsulhat, és ilyenkor az Azure semmit sem lát, és tökéletes állapotot jelent. Az alagút metrika szükséges és soha nem elegendő.

Három állapotot kell megkülönböztetni: az alagút le, az alagút fel és a szolgáltatás meghiúsul, valamint maga a felügyeleti forrás nem érhető el.

A próbát oda tegye, ahol a felhasználók vannak

Fióktelep–Azure alkalmazás esetén a szintetikus tesztet a fióktelep számítási hálózatának gazdagépéről futtassa, és a felhasználók által ténylegesen használt privát HTTPS belépési pontra irányítsa. Az átjáróról indított próba más forrás-címet és gyakran más házirendútvonalat használ, így átmehet, miközben minden felhasználó meghiúsul. Az Azure Connection Monitor TCP-, ICMP- és HTTP-ellenőrzéseket támogat tesztcsoportokkal és küszöbökkel, és a helyszíni forrásainak ügynökkövetelményei eltérnek az Azure-oldaliaktól. Ellenőrizze a jelenleg támogatott elrendezést, ahelyett hogy egy blogból másolna egy kivezetett klasszikus felügyeleti receptet.

Tartsa a próbát szűken és unalmasan: egy cél, egy port, az üzemeltetési követelményhez illő gyakoriság, és kifejezett engedélyezési szabály ehhez a forráshoz.

A szolgáltatáshoz illő ellenőrzést válasszon

A szolgáltatás portjára indított TCP-kapcsolat bizonyítja az átvitel elérhetőségét az alagúton át, és semmit nem mond a TLS-ről vagy az alkalmazásról. A HTTP-ellenőrzés állapotelvárást ad hozzá, és elkapja azt a figyelőt, amely kapcsolatokat fogad, de nem tud kiszolgálni, ami a gyakoribb hiba tanúsítvány- vagy háttérrendszer-változás után. Egyik sem hitelesített üzleti tranzakció, hacsak a teszt nem hitelesít valóban, ezért ne címkézze így az irányítópulton. Azt az ellenőrzést válassza, amely akkor hibázik, amikor a felhasználó panasza bekövetkezik.

Az ICMP a három közül a leggyengébb, mert sok stack házirend alapján eldobja, és egy sikertelen ping nagyon keveset bizonyít.

Juttassa mindkét jelet az Elasticbe anélkül, hogy kitalálná őket

A VPN-átjáró platformmetrikákat bocsát ki, például az alagút kimenő és bejövő bájtjait és a csomagvesztés-számlálókat, és diagnosztikai naplókat küldhet olyan kategóriákban, amelyek az alagút- és IKE-eseményeket is tartalmazzák. A Connection Monitor eredményei az Azure Monitoron keresztül metrikaként, egy Log Analytics-munkaterületen keresztül pedig naplórekordként érkeznek. Ezek közül semmi nem jelenik meg magától az Elastic indexében. Válasszon egy támogatott adatcsatornát a metrikákhoz és egyet a naplókhoz, általában az Azure Event Hub bemenetet vagy az Azure Monitor integrációt, és ellenőrizze, mit fogad be valójában a telepített integráció, mielőtt megbízik az indexmintában.

Őrizze meg a címkéket, amelyek lehetővé teszik az üzemeltetőnek a két adathalmaz összekapcsolását: forrásvégpont, cél, protokoll és port a próbához, valamint alagútazonosító és partner-cím az átjáróhoz.

Egy ellenőrzött eseménnyel validálja az adatcsatornát, majd keresse meg az Elasticben, és ellenőrizze annak időbélyegét és erőforrás-címkéit. A rossz időbélyegű dokumentum rosszabb a hiányzónál, mert elavult adatokat mutat frissnek.

A különbségre riasztjon, ne a színre

A két jel tartásának értelme a kombinációkban van. Alagút le: a hálózat tulajdonosát kell riasztani; alagút fel és hibázó próba: az alkalmazás tulajdonosát; hiányzó próbaeredmény: a felügyeleti ügynök tulajdonosát. Mindhármat egyetlen piros panelbe vonni garantálja, hogy a riasztás egy hónapon belül némításra kerül. Tartós meghibásodásra riasztjon kitartási ablakkal, ne egyetlen mintára, és adjon külön ellenőrzést magának a betöltési adatcsatornának az állapotára.

A tegnapi sikeres mintákkal teli irányítópult ma nem olvasható egészséges útvonalként.

Leírva a szerződés kicsi: az alagút metrika azt mondja, hogy az átjáró egyeztetett, a próba azt, hogy az útvonal onnan működik, ahol a felhasználók ülnek, az adatcsatorna állapota pedig azt, hogy valamelyik válasz friss-e. Minden más az irányítópulton kommentár.