Pemantauan VPN Azure Site: pasangkan keadaan terowong dengan probe sebenar

Setiap papan pemuka hijau, terowong telah aktif sebelas hari, dan cawangan tidak dapat memuatkan aplikasi dalaman. Itulah simptom yang menjadi sebab reka bentuk ini wujud, dan ia bukan pepijat pemantauan. Keadaan terowong menjawab soalan tentang rundingan, manakala pengguna bertanya tentang permintaan yang merentasi empat keputusan penghalaan dan satu lapisan dasar. Anda perlukan kedua-dua isyarat, dipisahkan, dan cara membezakannya pada tengah malam.

Mulakan dengan simptom yang gagal, bukan terowong

Persatuan keselamatan yang terbentuk bermakna kedua-dua rakan bersetuju dengan cadangan dan memasang kunci. Ia tidak bermakna pemilih meliputi subnet yang diperlukan pengguna, bahawa pihak jauh mempunyai laluan balik, atau bahawa firewall menerima port selepas penyahsulitan. Trafik juga boleh gagal di sebelah cawangan terowong, dan ketika itu Azure tidak melihat apa-apa dan melaporkan kesihatan sempurna. Metrik terowong perlu dan tidak pernah mencukupi.

Tiga keadaan mesti boleh dibezakan: terowong turun, terowong naik tetapi perkhidmatan gagal, dan sumber pemantauan itu sendiri tidak tersedia.

Letakkan probe di tempat pengguna berada

Untuk aplikasi dari cawangan ke Azure, jalankan ujian sintetik dari hos dalam rangkaian beban kerja cawangan dan halakan ke titik masuk HTTPS peribadi yang benar-benar dicapai pengguna. Probe yang dilancarkan dari gateway menggunakan alamat sumber berbeza dan selalunya laluan dasar berbeza, jadi ia boleh lulus walaupun setiap pengguna gagal. Azure Connection Monitor menyokong pemeriksaan TCP, ICMP dan HTTP dengan kumpulan ujian dan ambang, dan sumber tempatannya mempunyai keperluan ejen yang berbeza daripada sebelah Azure. Semak susunan yang disokong sekarang dan jangan salin resipi pemantauan klasik yang telah ditarik balik dari blog.

Kekalkan probe sempit dan membosankan: satu destinasi, satu port, kekerapan yang sepadan dengan keperluan operasi, dan peraturan kebenaran eksplisit untuk sumber itu.

Pilih pemeriksaan yang sepadan dengan perkhidmatan

Sambungan TCP ke port perkhidmatan membuktikan kebolehcapaian pengangkutan melalui terowong dan tidak berkata apa-apa tentang TLS atau aplikasi. Pemeriksaan HTTP menambah jangkaan status dan menangkap pendengar yang menerima sambungan tetapi tidak dapat berkhidmat, iaitu kegagalan lebih biasa selepas perubahan sijil atau backend. Kedua-duanya bukan transaksi perniagaan yang disahkan melainkan ujian benar-benar mengesahkan, jadi jangan labelkan begitu pada papan pemuka. Pilih pemeriksaan yang gagal apabila aduan pengguna berlaku.

ICMP ialah pilihan paling lemah antara ketiga-tiganya, kerana banyak tindanan menggugurkannya mengikut dasar dan ping yang gagal membuktikan sangat sedikit.

Bawa kedua-dua isyarat ke Elastic tanpa mengarangnya

Gateway VPN mengeluarkan metrik platform seperti bait keluar dan masuk terowong serta pengira paket hilang, dan boleh menghantar log diagnostik dalam kategori termasuk peristiwa terowong dan IKE. Hasil Connection Monitor tiba melalui Azure Monitor sebagai metrik dan melalui ruang kerja Log Analytics sebagai rekod log. Tiada satu pun itu muncul sendiri dalam indeks Elastic. Pilih satu saluran paip yang disokong untuk metrik dan satu untuk log, biasanya input Azure Event Hub atau integrasi Azure Monitor, dan sahkan apa yang benar-benar diserap oleh integrasi yang dipasang sebelum anda mempercayai corak indeks.

Kekalkan label yang membolehkan pengendali menggabungkan kedua-dua set data: titik akhir sumber, destinasi, protokol dan port untuk probe, serta identiti terowong dan alamat rakan untuk gateway.

Sahkan saluran paip dengan satu peristiwa terkawal, kemudian cari di Elastic dan semak cap masa serta label sumbernya. Dokumen dengan cap masa salah lebih buruk daripada yang hilang, kerana ia menjadikan data lama kelihatan terkini.

Berikan amaran pada perbezaan, bukan pada warna

Inti mengekalkan dua isyarat ialah gabungannya. Terowong turun harus memanggil pemilik rangkaian; terowong naik dengan probe gagal pemilik aplikasi; hasil probe yang hilang pemilik ejen pemantauan. Menggabungkan ketiga-tiganya ke satu panel merah menjamin amaran akan dibisukan dalam sebulan. Beri amaran pada kegagalan berterusan dengan tetingkap ketekalan, bukan pada satu sampel, dan tambah pemeriksaan berasingan untuk kesihatan saluran penyerapan itu sendiri.

Papan pemuka penuh dengan sampel berjaya semalam tidak sepatutnya dibaca sebagai laluan sihat hari ini.

Secara bertulis, kontraknya kecil: metrik terowong memberitahu gateway telah berunding, probe memberitahu laluan berfungsi dari tempat pengguna duduk, dan kesihatan saluran memberitahu sama ada mana-mana jawapan itu terkini. Selebihnya pada papan pemuka ialah ulasan.