Azure Site VPN-Monitoring: Tunneszoustand mat enger richtege Sonde koppelen

All Dashboard ass gréng, den Tunnel steet säit eelef Deeg, an d’Filial kann déi intern Applikatioun net lueden. Dat ass de Symptom fir deen dësen Design existéiert, an et ass kee Monitoring-Fehler. Den Tunneszoustand äntwert op eng Fro iwwer d’Verhandlung, während de Benotzer eng Fro iwwer eng Ufro stellt, déi véier Routingentscheedungen an eng Politikschicht duerchleeft. Dir braucht béid Signaler, getrennt gehal, an e Wee fir se an der Mëtternuecht auserneenzehalen.

Fänkt mam feelerhaften Symptom un, net mam Tunnel

Eng etabléiert Sécherheetsassociatioun heescht, datt d’Peeren sech iwwer e Virschlag eens goufen an Schlësselen installéiert hunn. Et heescht net, datt d’Selektoren de Subnetz decken, deen de Benotzer brauch, datt déi wäit Säit eng Retourroute huet, oder datt eng Firewall de Port no der Decryptioun unhëlt. Den Trafic kann och op der Filialsäit vum Tunnel feelen, an dann gesäit Azure guer näischt a mellt perfekt Gesondheet. D’Tunnelmetrik ass noutwendeg an ni genuch.

Dräi Zouständ mussen ënnerscheedbar sinn: den Tunnel ass erof, den Tunnel ass erop an de Service feelt, an d’Monitoringquell selwer ass net disponibel.

Setzt d’Sonde dohin, wou d’Benotzer sinn

Fir eng Applikatioun vu Filial op Azure, start d’syntheteschen Test vun engem Host am Workload-Netzwierk vun der Filial a richt en op de private HTTPS-Agangspunkt, deen d’Benotzer tatsächlech benotzen. Eng Sonde vum Gateway aus benotzt eng aner Quelladress an dacks en anere Politikwee, also kann se duerchgoen, während all Benotzer feelt. Azure Connection Monitor ënnerstëtzt TCP-, ICMP- an HTTP-Kontrollen mat Testgruppen a Schwellen, an seng lokal Quelle hunn Agentufuerderungen, déi sech vun deenen op der Azure-Säit ënnerscheeden. Kontrolléiert déi aktuell ënnerstëtzten Opstellung, amplaz eng ofgeschaaft klassesch Monitoring-Rezept aus engem Blog ze kopéieren.

Halt d’Sonde schmuel a langweileg: een Zil, ee Port, eng Frequenz déi zur Bedréifsufuerderung passt, an eng ausdrécklech Erlaabnesregel fir déi Quell.

Wielt eng Kontroll déi zum Service passt

Eng TCP-Verbindung op de Serviceport beweist d’Erreechbarkeet vum Transport duerch den Tunnel a seet näischt iwwer TLS oder d’Applikatioun. Eng HTTP-Kontroll setzt eng Statuserwaardung bäi a fänkt eng Lauschtererin, déi Verbindungen unhëlt awer net ka bedéngen, wat de méi heefege Feeler no enger Zertifikats- oder Backend-Ännerung ass. Keng vun deenen zwee ass eng authentifizéiert Geschäftstransaktioun, ausser den Test authentifizéiert wierklech, also etikettéiert se net esou um Dashboard. Wielt d’Kontroll déi feelt, wann d’Beschwéierde vum Benotzer geschitt.

ICMP ass déi schwaachst vun den dräi, well vill Stacken et duerch Politik fale loossen an e feelgeschloene Ping ganz wéineg beweist.

Bréngt béid Signaler an Elastic, ouni se ze erféieren

De VPN-Gateway gëtt Plattformmetriken aus wéi Tunnel-Aus- a -Agangsbytes a Paketverloschtzähler, a ka Diagnoseloggen a Kategorien schécken, dorënner Tunnel- an IKE-Evenementer. D’Resultater vum Connection Monitor komme iwwer Azure Monitor als Metriken an iwwer eng Log Analytics-Aarbechtsberäich als Logrecords. Näischt dovun erschéngt vu sech aus an engem Elastic-Index. Wielt eng ënnerstëtzt Pipeline fir Metriken an eng fir Loggen, meeschtens den Azure Event Hub-Input oder d’Azure Monitor-Integratioun, a verifizéiert wat déi installéiert Integratioun tatsächlech anhëlt, ier Dir dem Indexmuster vertraut.

Behält d’Etiketten déi engem Operateur erlaben, déi zwou Datesets ze verbannen: Quell-Endpunkt, Zil, Protokoll a Port fir d’Sonde, an Tunnelidentitéit plus Peeradress fir de Gateway.

Validéiert d’Pipeline mat engem kontrolléierten Evenement, sicht et dann an Elastic a kontrolléiert säin Zäitstempel a seng Ressourcen-Etiketten. En Dokument mat engem falschen Zäitstempel ass méi schlëmm wéi en feelend, well et al Daten aktuell ausgesäit.

Alarméiert op den Ënnerscheed, net op d’Faarf

De Sënn vun zwee Signaler sinn d’Kombinatiounen. Tunnel erof soll den Netzwierkbesëtzer ruffen; Tunnel erop mat enger feelender Sonde de Besëtzer vun der Applikatioun; e fehlend Sondresultat deen, deem den Monitoringagent gehéiert. All dräi an ee roude Panel ze fusionéieren garantéiert, datt den Alarm bannent engem Mount gedämpft gëtt. Alarméiert op dauerhaft Feelen mat enger Persistenzfenster, net op eng eenzeg Probe, a setzt eng separat Kontroll fir d’Gesondheet vun der Ingestpipeline selwer derbäi.

En Dashboard voller erfollegräiche Proben vun gëschter sollt haut net als gesonde Wee gelies ginn.

Opgeschriwwen ass de Kontrakt kleng: d’Tunnelmetrik seet Iech, datt de Gateway verhandelt huet, d’Sonde seet Iech, datt de Wee funktionnéiert vun do wou d’Benotzer sëtzen, an d’Pipelinesgesondheet seet Iech, ob eng vun den zwou Äntwerten aktuell ass. Alles anescht um Dashboard ass Kommentar.