Следење на Azure Site VPN: поврзете ја состојбата на тунелот со вистинска сонда

Секоја табла е зелена, тунелот работи единаесет дена, а огранокот не може да ја вчита внатрешната апликација. Ова е симптомот за кој постои овој дизајн и не е грешка во следењето. Состојбата на тунелот одговара на прашање за преговорите, додека корисникот прашува за барање што поминува низ четири одлуки за рутирање и еден слој на политики. Потребни се двата сигнала, одвоени, и начин да се разликуваат среде ноќ.

Започнете од симптомот што откажува, не од тунелот

Воспоставена безбедносна асоцијација значи дека страните се договориле за предлог и инсталирале клучеви. Тоа не значи дека селекторите ја покриваат подмрежата што му е потребна на корисникот, дека далечната страна има повратна рута или дека заштитниот ѕид го прифаќа портот по дешифрирањето. Сообраќајот може да откаже и на ограноковата страна на тунелот, и тогаш Azure не гледа ништо и пријавува совршено здравје. Метриката на тунелот е неопходна и никогаш доволна.

Три состојби мора да бидат разликливи: тунелот е паднат, тунелот е кренат а услугата откажува, и самиот извор на следење е недостапен.

Поставете ја сондата каде што се корисниците

За апликација од огранок кон Azure, стартувајте го синтетичкиот тест од домаќин во работната мрежа на огранокот и насочете го кон приватната HTTPS влезна точка до која корисниците навистина стигнуваат. Сонда стартувана од портата користи друга изворна адреса и често друга патека на политика, па може да помине додека секој корисник откажува. Azure Connection Monitor поддржува TCP, ICMP и HTTP проверки со тест групи и прагови, а неговите локални извори имаат барања за агент различни од оние на страната на Azure. Проверете го тековно поддржаното уредување наместо да копирате отфрлен класичен рецепт за следење од блог.

Држете ја сондата тесна и досадна: едно одредиште, еден порт, фреквенција што одговара на оперативното барање и јасно правило за дозвола за тој извор.

Изберете проверка што одговара на услугата

TCP врска до портот на услугата докажува достапност на транспортот низ тунелот и не кажува ништо за TLS или апликацијата. HTTP проверката додава очекување за статус и фаќа слушател што прифаќа врски но не може да служи, што е почестата грешка по промена на сертификат или backend. Ниту една не е автентифицирана деловна трансакција ако тестот навистина не автентифицира, затоа не означувајте ја така на таблата. Изберете ја проверката што откажува кога се појавува жалбата на корисникот.

ICMP е најслабата од трите опции, бидејќи многу стекови го отфрлаат по политика и неуспешен ping докажува многу малку.

Донесете ги двата сигнала во Elastic без да ги измислите

VPN портата емитува платформски метрики како излезни и влезни бајти на тунелот и бројачи на испуштени пакети, и може да испраќа дијагностички записи во категории вклучувајќи настани на тунелот и IKE. Резултатите од Connection Monitor пристигнуваат преку Azure Monitor како метрики и преку работен простор на Log Analytics како записи. Ништо од тоа не се појавува само по себе во индекс на Elastic. Изберете еден поддржан тек за метрики и еден за записи, обично влезот Azure Event Hub или интеграцијата Azure Monitor, и проверете што инсталираната интеграција навистина прима пред да му верувате на образецот на индекс.

Задржете ги ознаките што му овозможуваат на операторот да ги спои двете множества податоци: изворна крајна точка, одредиште, протокол и порт за сондата, и идентитет на тунелот плус адреса на партнерот за портата.

Валидирајте го текот со еден контролиран настан, потоа пребарајте го во Elastic и проверете го неговиот временски печат и ознаките на ресурсите. Документ со погрешен временски печат е полош од отсутен, бидејќи ги покажува старите податоци како тековни.

Алармирајте за разликата, не за бојата

Поентата на двата сигнала се комбинациите. Тунел паднат треба да го повика сопственикот на мрежата; тунел кренат со сонда што откажува сопственикот на апликацијата; отсутен резултат од сондата оној што го поседува агентот за следење. Спојувањето на сите три во еден црвен панел гарантира дека алармот ќе биде исклучен во рок од еден месец. Алармирајте за постојан отказ со прозорец на истрајност, а не за еден примерок, и додајте посебна проверка за здравјето на самиот тек на внесување.

Табла полна со вчерашни успешни примероци не треба да се чита како здрава патека денес.

Запишано, договорот е мал: метриката на тунелот вели дека портата преговарала, сондата вели дека патеката работи од каде што седат корисниците, а здравјето на текот вели дали некој од двата одговора е тековен. Сè друго на таблата е коментар.