Kur yra Azure Point-to-Site VPN žurnalai? Žiūrėkite Monitor

Vartotojas negali prisijungti prie Point-to-Site vartų, jūs atidarote vartų juostą, ir puslapyje niekur nėra prisijungimų istorijos. Konfigūracija, sertifikatai, būsena: viskas yra, įrašų nėra. Žurnalai egzistuoja, bet tinklo puslapiai jų visiškai negeneruoja. Jie gaunami iš diagnostikos nustatymo, prijungto prie vartų ištekliaus, ir tas nustatymas gyvena Monitor; todėl pirmoji paieška akivaizdžioje vietoje nieko negrąžina, ir žmonės daro išvadą, kad paslauga neveda jokio audito pėdsako.

Kodėl akivaizdi paieška nepavyksta

Senesnės gairės teigia, kad Azure Point-to-Site VPN neturi audito, ir tai buvo tiesa, kai paslauga neatskleidė jokio įrašo vienam prisijungimui. Dabartiniai vartai skelbia tunelio diagnostikos įrašus, todėl naudingas klausimas pasikeitė: ne ar žurnalai egzistuoja, o kuris išteklius juos išleidžia ir kurią kategoriją įjungėte. Vartų juosta yra konfigūracijos paviršius, o konfigūracijos paviršiai retai būna ir žurnalų peržiūros priemonės. Diagnostikos nustatymas yra objektas kiekvienam ištekliui, todėl pasirinktas išteklius lemia viską, kas toliau.

Kita painiavos pusė yra autentifikavimas. Sertifikatais pagrįsti Point-to-Site prisijungimai negeneruoja prisijungimo įvykio kiekvienam vartotojui, kaip tai daro tapatybės teikėjas, todėl nėra įrašo apie įvardintą asmenį, įvedantį slaptažodį.

Prijunkite diagnostikos nustatymą prie vartų ištekliaus

Atidarykite Monitor, tada Diagnostic settings, ir pridėkite naują nustatymą, kurio tikslas yra patys virtualaus tinklo vartai, o ne juos turintis virtualus tinklas. Pasirinkite Point-to-Site diagnostikos kategoriją, vardu P2SDiagnosticLog, nes ji perneša prisijungimų įrašus kiekvienam klientui; tunelio, maršruto ar IKE kategorijas pridėkite tik toms site-to-site klaidoms, kurias jos apima. Tada siųskite duomenis į jūsų valdomą Log Analytics darbo sritį su sąmoningai pasirinktu saugojimo laikotarpiu. Dauguma nepavykusių paieškų yra nustatymas, prijungtas prie netinkamo ištekliaus, o ne trūkstama funkcija.

Kategorijų sąrašai skiriasi priklausomai nuo vartų tipo ir kartos. Jei Point-to-Site kategorijos nėra, vartai gali būti senesni už funkciją arba veikti su SKU, kuri jos niekada neišleidžia, todėl prieš ieškodami teisių problemos patikrinkite palaikomas kategorijas. Vartai be Point-to-Site kategorijos nesugedę; jie tiesiog negali būti to įrašo šaltinis, o artimiausias pakaitalas yra tunelio ar IKE kategorija, kuri įrašo kliento adresą, nors ir neaprašo Point-to-Site sesijos. Patvirtinkite kategorijų sąrašą prieš atidarydami palaikymo atvejį dėl trūkstamų žurnalų.

Skaitykite įrašus lentelėje, kurią naudoja jūsų režimas

Senojoje rinkimo režime įrašai patenka į AzureDiagnostics lentelę, o kategorija rodoma kaip stulpelio reikšmė; ištekliui specifinėse lentelėse vartai turi savo lentelę. Bet kuriuo atveju užklauskite pagal vartų išteklių ir laiko langą aplink nepavykusį bandymą, tada skaitykite koreliaciją, o ne atskiras eilutes:

AzureDiagnostics
| where ResourceType == "VIRTUALNETWORKGATEWAYS"
| where _ResourceId has "gateway-name"
| where TimeGenerated > ago(2h)
| project TimeGenerated, Category, OperationName, ResultType, ResultDescription
| order by TimeGenerated desc

Stulpelių rinkinys atitinka jūsų rinkimo režimą, todėl užklausą traktuokite kaip formą, o ne scenarijų. To, ko ieškote, yra kliento adresas, kuris pasirodo ir paskui išnyksta, su rezultato tipu, kuris nėra sėkmė.

Suderinkite vartų įrašą su kliento požiūriu

Vartų žurnalai aprašo tunelį, o ne kodėl nešiojamasis kompiuteris negalėjo jo sukurti. Surinkite kliento pusę tuo pačiu laiko žyma: Windows įvykių žurnalą RAS klientui, macOS prisijungimų žurnalą arba klaidos tekstą, kurį parodė kliento programa. Vartų įrašas be atitinkamo kliento bandymo nurodo į klientą; jei klientas praneša apie sėkmę, o vartai nieko neregistruoja, tai paprastai reiškia, kad profilis nukreiptas į kitus vartus.

Laikykite abi puses tame pačiame biliete. Vien vartų žurnalas skatina neteisingą išvadą, o vien kliento žurnalas negali parodyti, ar paketas kada nors atvyko.

Jei niekur nieko nepasirodo, patikrinkite kliento laikrodį prieš abejodami platforma. Iškreiptos laiko žymos sukelia koreliacijos nesėkmę taip, kad atrodo lygiai kaip trūkstami duomenys.

Saugojimas, apimtis ir runbook įrašas

Tunelio įrašuose yra klientų adresai ir prisijungimų laiko žymos, todėl traktuokite juos kaip asmens duomenis su trynimo grafiku, o ne palikite platformos numatytąją reikšmę. Taip pat patikrinkite, ar darbo sritis nepriima kiekvienos kategorijos iš kiekvieno prenumeratos ištekliaus, nes triukšminga darbo sritis daro koreliaciją lėtesnę nei tiesioginis kliento žurnalo skaitymas.

Galiausiai įrašykite nustatymo pavadinimą, darbo sritį ir pasirinktas kategorijas į vartų runbook. Kitas žmogus, derinantis klientą, pirmiausia pažiūrės į vartų juostą, nieko neras ir padarys išvadą, kad žurnalų nėra.