Azure Site VPN stebėjimas: susiekite tunelio būseną su tikru zondu

Kiekviena prietaisų skydelis žalias, tunelis veikia vienuolika dienų, o filialas negali įkelti vidinės programos. Tai simptomas, dėl kurio egzistuoja šis dizainas, ir tai ne stebėjimo klaida. Tunelio būsena atsako į klausimą apie derybas, o naudotojas klausia apie užklausą, kuri eina per keturis maršrutizavimo sprendimus ir politikos sluoksnį. Reikia abiejų signalų, atskirtų, ir būdo juos atskirti vidurnaktį.

Pradėkite nuo nepavykusio simptomo, o ne nuo tunelio

Nustatytas saugos asociacijos ryšys reiškia, kad šalys susitarė dėl pasiūlymo ir įdiegė raktus. Tai nereiškia, kad selektoriai apima naudotojui reikalingą potinklį, kad tolimoji pusė turi grįžimo maršrutą arba kad ugniasienė priima prievadą po iššifravimo. Srautas gali nepavykti ir filialo pusėje, tada Azure nieko nemato ir praneša apie tobulą būklę. Tunelio metrika būtina ir niekada nepakanka.

Trys būsenos turi būti atskiriamos: tunelis neveikia, tunelis veikia ir paslauga nepavyksta, o pats stebėjimo šaltinis nepasiekiamas.

Įdėkite zondą ten, kur yra naudotojai

Programai iš filialo į Azure paleiskite sintetinį testą iš filialo darbo krūvio tinkle esančio kompiuterio ir nukreipkite jį į privatų HTTPS įėjimo tašką, kurį naudotojai iš tikrųjų pasiekia. Zondas, paleistas iš tinklų sietuvos, naudoja kitą šaltinio adresą ir dažnai kitą politikos kelią, todėl gali praeiti, nors kiekvienas naudotojas nepavyksta. Azure Connection Monitor palaiko TCP, ICMP ir HTTP patikras su testų grupėmis ir slenksčiais, o jo vietiniai šaltiniai turi agento reikalavimus, besiskiriančius nuo Azure pusės. Patikrinkite dabartinę palaikomą tvarką, o ne kopijuokite iš tinklaraščio pasenusį klasikinio stebėjimo receptą.

Laikykite zondą siaurą ir nuobodų: vienas tikslas, vienas prievadas, eksploatacijos reikalavimą atitinkantis dažnis ir aiški leidimo taisyklė tam šaltiniui.

Pasirinkite patikrą, atitinkančią paslaugą

TCP ryšys su paslaugos prievadu įrodo transporto pasiekiamumą per tunelį ir nieko nesako apie TLS ar programą. HTTP patikra prideda statuso lūkestį ir pagauna klausytoją, kuris priima ryšius, bet negali aptarnauti, o tai dažnesnė gedimo priežastis po sertifikato ar backend pakeitimo. Nė viena nėra autentifikuota verslo transakcija, nebent testas tikrai autentifikuoja, todėl taip žymėkite skydelyje tik tada, kai taip yra. Pasirinkite tą patikrą, kuri nepavyksta, kai atsiranda naudotojo skundas.

ICMP yra silpniausias iš trijų, nes daugelis sudėtinių dalių jį atmeta pagal politiką, o nepavykęs ping įrodo labai mažai.

Pervežkite abu signalus į Elastic jų neišgalvodami

VPN tinklų sietuva skelbia platformos metrikas, tokias kaip tunelio išėjimo ir įėjimo baitai bei prarastų paketų skaitikliai, ir gali siųsti diagnostikos žurnalus kategorijomis, įskaitant tunelio ir IKE įvykius. Connection Monitor rezultatai ateina per Azure Monitor kaip metrikos ir per Log Analytics darbo sritį kaip žurnalo įrašai. Niekas iš to savaime neatsiranda Elastic indekse. Pasirinkite vieną palaikomą konvejerį metrikoms ir vieną žurnalams, dažniausiai Azure Event Hub įvestį arba Azure Monitor integraciją, ir patikrinkite, ką įdiegta integracija iš tikrųjų priima, prieš pasitikėdami indekso šablonu.

Išsaugokite žymes, leidžiančias operatoriui sujungti du duomenų rinkinius: šaltinio galinis taškas, tikslas, protokolas ir prievadas zondui, o tunelio tapatybė ir partnerio adresas tinklų sietuvai.

Patvirtinkite konvejerį vienu kontroliuojamu įvykiu, tada suraskite jį Elastic ir patikrinkite laiko žymą bei išteklių žymes. Dokumentas su neteisinga laiko žyma blogesnis už trūkstamą, nes pasenusius duomenis parodo kaip dabartinius.

Signalizuokite apie skirtumą, o ne apie spalvą

Dviejų signalų prasmė yra deriniai. Tunelis neveikia – kvieskite tinklo savininką; tunelis veikia, o zondas nepavyksta – programos savininką; nėra zondo rezultato – to, kam priklauso stebėjimo agentas. Visus tris sujungus į vieną raudoną skydelį garantuota, kad signalas bus nutildytas per mėnesį. Signalizuokite apie ilgalaikį gedimą su trukmės langą, o ne apie vieną pavyzdį, ir pridėkite atskirą patikrą pačio surinkimo konvejerio būklei.

Skydelis, pilnas vakardienos sėkmingų pavyzdžių, neturėtų būti skaitomas kaip sveikas kelias šiandien.

Užrašyta, sutartis maža: tunelio metrika sako, kad sietuva derėjosi, zondas sako, kad kelias veikia iš ten, kur sėdi naudotojai, o konvejerio būklė sako, ar kuris nors atsakymas yra dabartinis. Visa kita skydelyje yra komentaras.