Azure Site VPN uzraudzība: sasaistiet tuneļa stāvokli ar īstu zondi

Katrs informācijas panelis ir zaļš, tunelis darbojas vienpadsmit dienas, bet filiāle nevar ielādēt iekšējo lietotni. Tas ir simptoms, kura dēļ pastāv šis dizains, un tā nav uzraudzības kļūda. Tuneļa stāvoklis atbild uz jautājumu par sarunām, bet lietotājs jautā par pieprasījumu, kas šķērso četrus maršrutēšanas lēmumus un politikas slāni. Vajadzīgi abi signāli, atsevišķi, un veids, kā tos atšķirt nakts vidū.

Sāciet ar neveiksmīgo simptomu, nevis ar tuneli

Izveidota drošības asociācija nozīmē, ka puses vienojās par priekšlikumu un instalēja atslēgas. Tas nenozīmē, ka selektori aptver apakštīklu, kas lietotājam vajadzīgs, ka attālajai pusei ir atgriešanās maršruts vai ka ugunsmūris pieņem portu pēc atšifrēšanas. Datplūsma var neizdoties arī filiāles pusē, un tad Azure neko neredz un ziņo par nevainojamu veselību. Tuneļa metrika ir nepieciešama un nekad nav pietiekama.

Jāizšķir trīs stāvokļi: tunelis ir lejā, tunelis ir augšā un pakalpojums neizdodas, un pats uzraudzības avots nav pieejams.

Novietojiet zondi tur, kur ir lietotāji

Lietotnei no filiāles uz Azure palaidiet sintētisko testu no resursdatora filiāles darba slodzes tīklā un vērsiet to uz privāto HTTPS ieejas punktu, ko lietotāji patiešām sasniedz. Zonde, kas palaista no vārtejas, izmanto citu avota adresi un bieži citu politikas ceļu, tāpēc tā var iziet, kamēr katrs lietotājs neizdodas. Azure Connection Monitor atbalsta TCP, ICMP un HTTP pārbaudes ar testu grupām un sliekšņiem, un tā vietējiem avotiem ir aģenta prasības, kas atšķiras no Azure puses prasībām. Pārbaudiet pašlaik atbalstīto izvietojumu, nevis kopējiet no emuāra novecojušu klasiskās uzraudzības recepti.

Turiet zondi šauru un garlaicīgu: viens mērķis, viens ports, ekspluatācijas prasībām atbilstošs biežums un skaidrs atļaujas noteikums šim avotam.

Izvēlieties pārbaudi, kas atbilst pakalpojumam

TCP savienojums ar pakalpojuma portu pierāda transporta sasniedzamību caur tuneli un neko nepasaka par TLS vai lietotni. HTTP pārbaude pievieno statusa gaidījumu un noķer klausītāju, kas pieņem savienojumus, bet nevar apkalpot, un tas ir biežāka kļūme pēc sertifikāta vai backend maiņas. Neviens no tiem nav autentificēts darījums, ja vien tests tiešām neautentificē, tāpēc neatzīmējiet to tā panelī. Izvēlieties pārbaudi, kas neizdodas, kad parādās lietotāja sūdzība.

ICMP ir vājākais no trim, jo daudzi steki to izmet pēc politikas un neizdevies ping pierāda ļoti maz.

Nogādājiet abus signālus uz Elastic, tos neizgudrojot

VPN vārteja izstaro platformas metrikas, piemēram, tuneļa izejas un ieejas baitus un pakešu zuduma skaitītājus, un var sūtīt diagnostikas žurnālus kategorijās, tostarp tuneļa un IKE notikumus. Connection Monitor rezultāti nāk caur Azure Monitor kā metrikas un caur Log Analytics darbvietu kā žurnāla ieraksti. Nekas no tā pats par sevi neparādās Elastic indeksā. Izvēlieties vienu atbalstītu cauruļvadu metrikām un vienu žurnāliem, parasti Azure Event Hub ievadi vai Azure Monitor integrāciju, un pārbaudiet, ko instalētā integrācija patiešām uzņem, pirms uzticēties indeksa modelim.

Saglabājiet birkas, kas operatoram ļauj savienot abas datu kopas: zondei avota galapunkts, galamērķis, protokols un ports, bet vārtejai tuneļa identitāte un partnera adrese.

Validējiet cauruļvadu ar vienu kontrolētu notikumu, pēc tam meklējiet to Elastic un pārbaudiet tā laikspiedolu un resursu birkas. Dokuments ar nepareizu laikspiedolu ir sliktāks par trūkstošu, jo liek novecojušiem datiem izskatīties aktuāliem.

Trauksmes pamatā lai ir atšķirība, nevis krāsa

Divu signālu jēga ir kombinācijās. Tunelis lejā – jāsazinās ar tīkla īpašnieku; tunelis augšā un zonde neizdodas – ar lietotnes īpašnieku; nav zondes rezultāta – ar to, kam pieder uzraudzības aģents. Visu trīs apvienošana vienā sarkanā panelī garantē, ka trauksme tiks izslēgta mēneša laikā. Trauksmi veidojiet par ilgstošu kļūmi ar noturības logu, nevis par vienu paraugu, un pievienojiet atsevišķu pārbaudi paša ievades cauruļvada veselībai.

Panelis, kas pilns ar vakardienas veiksmīgiem paraugiem, šodien nav lasāms kā veselīgs ceļš.

Uzrakstīts, līgums ir mazs: tuneļa metrika saka, ka vārteja ir vienojusies, zonde saka, ka ceļš darbojas no vietas, kur sēž lietotāji, un cauruļvada veselība saka, vai kāda no atbildēm ir aktuāla. Viss pārējais panelī ir komentārs.