Pemantauan VPN Azure Site: pasangkan status tunnel dengan probe nyata

Setiap dasbor hijau, tunnel sudah aktif sebelas hari, dan cabang tidak bisa memuat aplikasi internal. Itulah gejala yang menjadi alasan desain ini ada, dan ini bukan bug pemantauan. Status tunnel menjawab pertanyaan tentang negosiasi, sementara pengguna bertanya tentang permintaan yang melewati empat keputusan perutean dan lapisan kebijakan. Anda perlu kedua sinyal, dipisahkan, dan cara membedakannya di tengah malam.

Mulai dari gejala yang gagal, bukan dari tunnel

Asosiasi keamanan yang terbentuk berarti kedua peer menyetujui proposal dan memasang kunci. Itu tidak berarti selektor mencakup subnet yang dibutuhkan pengguna, sisi jauh punya rute balik, atau firewall menerima port setelah dekripsi. Lalu lintas juga bisa gagal di sisi cabang tunnel, dan saat itu Azure tidak melihat apa pun dan melaporkan kesehatan sempurna. Metrik tunnel perlu dan tidak pernah cukup.

Tiga keadaan harus bisa dibedakan: tunnel mati, tunnel hidup dan layanan gagal, dan sumber pemantauan itu sendiri tidak tersedia.

Taruh probe di tempat pengguna berada

Untuk aplikasi cabang ke Azure, jalankan uji sintetis dari host di jaringan beban kerja cabang dan arahkan ke titik masuk HTTPS privat yang benar-benar diakses pengguna. Probe yang dijalankan dari gateway memakai alamat sumber berbeda dan sering jalur kebijakan berbeda, jadi bisa lolos sementara semua pengguna gagal. Azure Connection Monitor mendukung pemeriksaan TCP, ICMP, dan HTTP dengan grup uji dan ambang, dan sumber lokalnya punya persyaratan agen yang berbeda dari sisi Azure. Periksa susunan yang didukung saat ini alih-alih menyalin resep monitor klasik yang sudah pensiun dari blog.

Jaga probe tetap sempit dan membosankan: satu tujuan, satu port, frekuensi yang sesuai kebutuhan operasional, dan aturan izin eksplisit untuk sumber itu.

Pilih pemeriksaan yang sesuai dengan layanan

Koneksi TCP ke port layanan membuktikan keterjangkauan transport melalui tunnel dan tidak mengatakan apa pun tentang TLS atau aplikasi. Pemeriksaan HTTP menambah harapan status dan menangkap listener yang menerima koneksi tetapi tidak bisa melayani, yang merupakan kegagalan lebih umum setelah perubahan sertifikat atau backend. Keduanya bukan transaksi bisnis terautentikasi kecuali uji benar-benar mengautentikasi, jadi jangan beri label seperti itu di dasbor. Pilih pemeriksaan yang gagal saat keluhan pengguna terjadi.

ICMP adalah opsi terlemah dari ketiganya, karena banyak tumpukan membuangnya berdasarkan kebijakan dan ping gagal membuktikan sangat sedikit.

Bawa kedua sinyal ke Elastic tanpa mengarangnya

Gateway VPN memancarkan metrik platform seperti byte keluar dan masuk tunnel serta penghitung paket hilang, dan dapat mengirim log diagnostik dalam kategori termasuk peristiwa tunnel dan IKE. Hasil Connection Monitor tiba melalui Azure Monitor sebagai metrik dan melalui ruang kerja Log Analytics sebagai catatan log. Tidak ada satu pun yang muncul sendiri di indeks Elastic. Pilih satu pipeline yang didukung untuk metrik dan satu untuk log, biasanya input Azure Event Hub atau integrasi Azure Monitor, dan verifikasi apa yang benar-benar diserap integrasi terpasang sebelum Anda memercayai pola indeks.

Pertahankan label yang memungkinkan operator menggabungkan kedua kumpulan data: titik akhir sumber, tujuan, protokol, dan port untuk probe, serta identitas tunnel plus alamat peer untuk gateway.

Validasi pipeline dengan satu peristiwa terkendali, lalu cari di Elastic dan periksa stempel waktu serta label sumber dayanya. Dokumen dengan stempel waktu salah lebih buruk daripada yang hilang, karena membuat data basi tampak terkini.

Berikan peringatan pada perbedaannya, bukan pada warnanya

Inti mempertahankan dua sinyal adalah kombinasinya. Tunnel mati harus memanggil pemilik jaringan; tunnel hidup dengan probe gagal memanggil pemilik aplikasi; hasil probe yang hilang memanggil pemilik agen pemantauan. Menggabungkan ketiganya ke satu panel merah menjamin peringatan akan dibisukan dalam sebulan. Beri peringatan pada kegagalan berkelanjutan dengan jendela persistensi, bukan pada satu sampel, dan tambahkan pemeriksaan terpisah untuk kesehatan pipeline penyerapan itu sendiri.

Dasbor penuh sampel sukses kemarin tidak boleh terbaca sebagai jalur sehat hari ini.

Secara tertulis, kontraknya kecil: metrik tunnel memberi tahu bahwa gateway bernegosiasi, probe memberi tahu bahwa jalur bekerja dari tempat pengguna duduk, dan kesehatan pipeline memberi tahu apakah salah satu jawaban itu terkini. Sisanya di dasbor hanyalah komentar.