Azure Site VPN 모니터링: 터널 상태와 실제 프로브를 함께 보기

모든 대시보드가 초록색이고, 터널은 열한째 날에도 올라와 있는데, 지사는 사내 앱을 불러오지 못한다. 이 설계가 존재하는 이유가 바로 이 증상이며, 모니터링 버그가 아니다. 터널 상태는 협상에 대한 질문에 답하고, 사용자는 네 번의 라우팅 결정과 정책 계층을 지나는 요청에 대해 묻고 있다. 두 신호가 모두 필요하며, 섞지 않고, 한밤중에 둘을 구분할 방법이 필요하다.

터널이 아니라 실패하는 증상에서 시작한다

확립된 보안 연결은 양쪽 피어가 제안에 합의하고 키를 설치했다는 뜻이다. 사용자에게 필요한 서브넷을 선택자가 덮는다는 뜻도, 원격 측에 반환 경로가 있다는 뜻도, 복호화 후 방화벽이 포트를 받아들인다는 뜻도 아니다. 트래픽은 터널의 지사 쪽에서 실패할 수도 있고, 그러면 Azure는 아무것도 보지 못한 채 완벽한 상태를 보고한다. 터널 메트릭은 필요하지만 결코 충분하지 않다.

세 가지 상태를 구분해야 한다. 터널이 내려간 상태, 터널은 올라와 있지만 서비스가 실패하는 상태, 모니터링 원본 자체를 쓸 수 없는 상태다.

프로브는 사용자가 있는 곳에 둔다

지사에서 Azure로 가는 앱이라면 지사 워크로드 네트워크의 호스트에서 합성 테스트를 실행하고, 사용자가 실제로 접속하는 사설 HTTPS 진입점으로 향하게 한다. 게이트웨이에서 띄운 프로브는 출발지 주소도 다르고 정책 경로도 다른 경우가 많아, 모든 사용자가 실패하는데도 통과할 수 있다. Azure Connection Monitor는 테스트 그룹과 임계값을 갖춘 TCP, ICMP, HTTP 검사를 지원하며, 온프레미스 원본에는 Azure 쪽과 다른 에이전트 요구 사항이 있다. 블로그에서 은퇴한 클래식 모니터링 조리법을 베끼지 말고 현재 지원되는 구성을 확인하라.

프로브는 좁고 지루하게 유지한다. 목적지 하나, 포트 하나, 운영 요구에 맞는 주기, 그리고 그 출발지에 대한 명시적 허용 규칙이다.

서비스에 맞는 검사를 고른다

서비스 포트로의 TCP 연결은 터널을 통한 전송 도달성을 증명할 뿐 TLS나 앱에 대해서는 아무 말도 하지 않는다. HTTP 검사는 상태 기대를 더하고, 연결은 받지만 응답하지 못하는 리스너를 잡아낸다. 인증서나 백엔드 변경 뒤에 더 흔한 실패가 이것이다. 테스트가 실제로 인증하지 않는 한 둘 다 인증된 업무 트랜잭션이 아니므로 대시보드에 그렇게 표시하지 마라. 사용자의 불만이 생길 때 실패하는 검사를 고른다.

ICMP는 셋 중 가장 약하다. 많은 스택이 정책으로 버리고, 실패한 ping은 거의 아무것도 증명하지 못한다.

두 신호를 지어내지 말고 Elastic으로 가져온다

VPN 게이트웨이는 터널의 송수신 바이트와 패킷 드롭 카운터 같은 플랫폼 메트릭을 내보내고, 터널과 IKE 이벤트를 포함한 범주의 진단 로그도 보낼 수 있다. Connection Monitor 결과는 Azure Monitor를 통해 메트릭으로, Log Analytics 작업 영역을 통해 로그 레코드로 도착한다. 그중 어느 것도 저절로 Elastic 인덱스에 나타나지 않는다. 메트릭용과 로그용으로 지원되는 파이프라인을 각각 하나씩 고르고, 보통 Azure Event Hub 입력이나 Azure Monitor 통합을 쓰며, 인덱스 패턴을 믿기 전에 설치된 통합이 실제로 무엇을 수집하는지 확인한다.

운영자가 두 데이터셋을 결합할 수 있는 레이블을 남긴다. 프로브에는 출발지 엔드포인트, 목적지, 프로토콜, 포트를, 게이트웨이에는 터널 ID와 피어 주소를 둔다.

통제된 이벤트 하나로 파이프라인을 검증하고, 그것을 Elastic에서 검색해 타임스탬프와 리소스 레이블을 확인한다. 타임스탬프가 틀린 문서는 없는 문서보다 나쁘다. 오래된 데이터를 최신처럼 보이게 하기 때문이다.

색이 아니라 차이에 경보를 건다

두 신호를 유지하는 요점은 조합이다. 터널이 내려가면 네트워크 담당자를 부르고, 터널은 올라와 있는데 프로브가 실패하면 앱 담당자를 부르고, 프로브 결과가 없으면 모니터링 에이전트 담당자를 부른다. 셋을 하나의 빨간 패널로 합치면 한 달 안에 경보가 음소거될 것이 확실하다. 단일 샘플이 아니라 지속 시간 창을 둔 지속적 실패에 경보를 걸고, 수집 파이프라인 자체의 상태에도 별도 검사를 더한다.

어제의 성공 샘플로 가득한 대시보드를 오늘의 건강한 경로로 읽어서는 안 된다.

글로 적으면 계약은 작다. 터널 메트릭은 게이트웨이가 협상했다고 말하고, 프로브는 사용자가 앉은 곳에서 경로가 작동한다고 말하며, 파이프라인 상태는 두 답 중 어느 것이 최신인지 말한다. 대시보드의 나머지는 모두 주석이다.