Azure Site VPN 監視：トンネル状態と実プローブを組み合わせる

ダッシュボードはすべて緑、トンネルは十一日間上がったまま、しかし支社は社内アプリを読み込めない。これがこの設計の出発点となる症状であり、監視の不具合ではない。トンネル状態が答えるのはネゴシエーションについての問いであり、利用者が問うているのは、四つのルーティング判断とポリシー層を通る要求についてである。両方の信号を、混ぜずに持ち、深夜にそれを見分ける手段が要る。

トンネルではなく、失敗している症状から始める

確立済みのセキュリティアソシエーションは、両ピアが提案に合意し鍵を導入したことを意味する。利用者が必要とするサブネットをセレクタが覆っていること、対向側に戻り経路があること、復号後にファイアウォールがポートを受け入れることを意味しない。トンネルの支社側で通信が失敗すれば、Azure には何も見えず、完璧な健全性が報告される。トンネルのメトリックは必要であり、決して十分ではない。

区別すべき状態は三つある。トンネルが落ちている、トンネルは上がっているがサービスが失敗している、監視元そのものが使えない、である。

プローブは利用者のいる場所に置く

支社から Azure へのアプリでは、支社のワークロード網にあるホストから合成テストを実行し、利用者が実際に叩くプライベート HTTPS の入口に向ける。ゲートウェイから起動したプローブは送信元アドレスもポリシー経路も違うことが多く、全利用者が失敗していても通ってしまう。Azure Connection Monitor はテストグループとしきい値を備えた TCP・ICMP・HTTP チェックに対応し、オンプレミス側のソースには Azure 側と異なるエージェント要件がある。ブログから引退したクラシック監視のレシピを写すのではなく、現行の対応構成を確認すること。

プローブは狭く退屈に保つ。宛先一つ、ポート一つ、運用要件に見合う頻度、そしてその送信元に対する明示的な許可規則である。

サービスに合ったチェックを選ぶ

サービスポートへの TCP 接続はトンネル経由の到達性を示すが、TLS やアプリについては何も語らない。HTTP チェックはステータスの期待を加え、接続は受けるが応答できないリスナーを捕まえる。証明書やバックエンドの変更後に多いのはこちらである。テストが実際に認証しない限り、どちらも認証された業務トランザクションではないので、ダッシュボードでそう表示してはならない。利用者の苦情が起きたときに失敗するチェックを選ぶこと。

ICMP は三つの中で最も弱い。多くのスタックがポリシーで落とし、ping の失敗はほとんど何も証明しない。

両方の信号を捏造せずに Elastic へ入れる

VPN ゲートウェイはトンネルの送受信バイト数やパケット破棄カウンタといったプラットフォーム メトリックを出し、トンネルや IKE のイベントを含むカテゴリの診断ログも送れる。Connection Monitor の結果は Azure Monitor 経由でメトリックとして、Log Analytics ワークスペース経由でログ レコードとして届く。どれもそれ自体では Elastic のインデックスに現れない。メトリック用とログ用にそれぞれ対応済みのパイプラインを一つ選び、通常は Azure Event Hub 入力か Azure Monitor 統合を使い、インデックス パターンを信じる前に、導入済みの統合が実際に何を取り込むかを確認する。

二つのデータセットを運用者が結合できるラベルを残す。プローブには送信元エンドポイント、宛先、プロトコル、ポート。ゲートウェイにはトンネル ID とピア アドレスである。

制御されたイベント一つでパイプラインを検証し、それを Elastic で検索してタイムスタンプとリソース ラベルを確認する。タイムスタンプが誤った文書は欠落より悪い。古いデータを最新に見せるからだ。

色ではなく差分で警告する

二つの信号を保つ意味は組み合わせにある。トンネル断ならネットワークの担当者を呼び、トンネルは上がっているがプローブが失敗していればアプリの担当者を呼び、プローブ結果が欠けていれば監視エージェントの担当者を呼ぶ。三つを一つの赤いパネルにまとめれば、警告は一か月以内にミュートされる。単一のサンプルではなく、継続時間の窓を伴う持続的な失敗で警告し、取り込みパイプライン自体の健全性にも別のチェックを足す。

昨日の成功サンプルで埋まったダッシュボードは、今日の健全な経路として読まれるべきではない。

言葉にすれば契約は小さい。トンネルのメトリックはゲートウェイがネゴシエーションしたことを、プローブは利用者の座る場所から経路が機能することを、パイプラインの健全性はどちらの答えが最新かを告げる。ダッシュボードの残りはすべて注釈である。