Azure Site VPN-overvåking: par tunnelstatus med en ekte probe

Hvert dashbord er grønt, tunnelen har vært oppe i elleve dager, og filialen kan ikke laste den interne applikasjonen. Det er symptomet dette designet finnes for, og det er ikke en overvåkingsfeil. Tunnelstatus svarer på et spørsmål om forhandling, mens brukeren spør om en forespørsel som krysser fire rutingsbeslutninger og et policy-lag. Du trenger begge signalene, holdt atskilt, og en måte å skille dem midt på natten.

Start med det feilende symptomet, ikke tunnelen

En etablert sikkerhetsassosiasjon betyr at partene ble enige om et forslag og installerte nøkler. Det betyr ikke at selektorene dekker subnettet brukeren trenger, at fjernsiden har en returrute, eller at en brannmur godtar porten etter dekryptering. Trafikk kan også feile på filialsiden av tunnelen, og da ser Azure ingenting og rapporterer perfekt helse. Tunnelmetrikken er nødvendig og aldri tilstrekkelig.

Tre tilstander må kunne skilles: tunnelen er nede, tunnelen er oppe og tjenesten feiler, og overvåkingskilden selv er utilgjengelig.

Sett proben der brukerne er

For en applikasjon fra filial til Azure, kjør den syntetiske testen fra en vert i filialens arbeidslastnettverk og pek den mot det private HTTPS-innpunktet brukerne faktisk treffer. En probe startet fra gatewayen bruker en annen kildeadresse og ofte en annen policy-vei, så den kan passere mens hver bruker feiler. Azure Connection Monitor støtter TCP-, ICMP- og HTTP-sjekker med testgrupper og terskler, og de lokale kildene har agentkrav som skiller seg fra dem på Azure-siden. Sjekk den støttede konfigurasjonen i dag i stedet for å kopiere en utfaset klassisk overvåkingsoppskrift fra en blogg.

Hold proben smal og kjedelig: ett mål, én port, en frekvens som matcher driftskravet, og en eksplisitt tillatelsesregel for den kilden.

Velg en sjekk som passer til tjenesten

En TCP-tilkobling til tjenesteporten beviser transporttilgjengelighet gjennom tunnelen og sier ingenting om TLS eller applikasjonen. En HTTP-sjekk legger til en statusforventning og fanger en lytter som godtar tilkoblinger men ikke kan betjene, som er den vanligere feilen etter en sertifikat- eller backend-endring. Ingen av dem er en autentisert forretningstransaksjon med mindre testen faktisk autentiserer, så ikke merk den som det i dashbordet. Velg sjekken som feiler når brukerens klage oppstår.

ICMP er det svakeste av de tre, siden mange stabler dropper det etter policy og en mislykket ping beviser svært lite.

Få begge signalene inn i Elastic uten å dikte dem opp

VPN-gatewayen sender ut plattformmålinger som tunnel-egress- og ingressbytes og tellere for tapte pakker, og kan sende diagnostikklagger i kategorier som inkluderer tunnel- og IKE-hendelser. Resultater fra Connection Monitor kommer via Azure Monitor som målinger og via et Log Analytics-arbeidsområde som loggposter. Ingenting av dette vises i en Elastic-indeks av seg selv. Velg én støttet pipeline for målinger og én for logger, vanligvis Azure Event Hub-inndata eller Azure Monitor-integrasjonen, og verifiser hva den installerte integrasjonen faktisk tar inn før du stoler på indeksmønsteret.

Behold etikettene som lar en operatør koble de to datasettene: kildeendepunkt, mål, protokoll og port for proben, og tunnelidentitet pluss peer-adresse for gatewayen.

Valider pipelinen med én kontrollert hendelse, søk deretter etter den i Elastic og sjekk tidsstempelet og ressurseetikettene. Et dokument med feil tidsstempel er verre enn et som mangler, fordi det får utdaterte data til å se aktuelle ut.

Varsle på forskjellen, ikke på fargen

Poenget med to signaler er kombinasjonene. Tunnel nede bør varsle nettverkseieren; tunnel oppe med en probe som feiler bør varsle applikasjonseieren; et manglende proberesultat bør varsle den som eier overvåkingsagenten. Å slå alle tre sammen i ett rødt panel garanterer at varselet dempes innen en måned. Varsle på vedvarende feil med et utholdenhetsvindu i stedet for på en enkelt prøve, og legg til en egen sjekk for helsen til inntakspipelinen selv.

Et dashbord fullt av gårsdagens vellykkede prøver bør ikke leses som en sunn vei i dag.

Skrevet ned er kontrakten liten: tunnelmetrikken sier at gatewayen forhandlet, proben sier at veien fungerer der brukerne sitter, og pipeline-helsen sier om noen av svarene er aktuelle. Alt annet på dashbordet er kommentar.