Azure Site VPN-monitoring: koppel tunnelstatus aan een echte probe

Elk dashboard is groen, de tunnel staat al elf dagen omhoog, en de vestiging kan de interne applicatie niet laden. Dat is het symptoom waarvoor dit ontwerp bestaat, en het is geen monitoringfout. Tunnelstatus beantwoordt een vraag over onderhandeling, terwijl de gebruiker vraagt naar een verzoek dat vier routeringsbeslissingen en een beleidslaag passeert. Je hebt beide signalen nodig, gescheiden gehouden, en een manier om ze midden in de nacht uit elkaar te houden.

Begin bij het falende symptoom, niet bij de tunnel

Een gevestigde security-associatie betekent dat de peers het eens werden over een voorstel en sleutels installeerden. Het betekent niet dat de selectors het subnet dekken dat de gebruiker nodig heeft, dat de andere kant een terugroute heeft, of dat een firewall de poort na ontsleuteling accepteert. Verkeer kan ook aan de vestigingskant van de tunnel falen, en dan ziet Azure niets en meldt perfecte gezondheid. De tunnelmetriek is noodzakelijk en nooit voldoende.

Drie toestanden moeten te onderscheiden zijn: de tunnel is neer, de tunnel is op en de dienst faalt, en de monitoringbron zelf is niet beschikbaar.

Zet de probe waar de gebruikers zijn

Voor een applicatie van vestiging naar Azure, voer de synthetische test uit vanaf een host in het workloadnetwerk van de vestiging en richt die op het private HTTPS-toegangspunt dat gebruikers echt raken. Een probe die vanaf de gateway start, gebruikt een ander bronadres en vaak een ander beleidspad, dus kan slagen terwijl elke gebruiker faalt. Azure Connection Monitor ondersteunt TCP-, ICMP- en HTTP-checks met testgroepen en drempels, en de on-premises bronnen hebben agentvereisten die verschillen van die aan de Azure-kant. Controleer de momenteel ondersteunde opstelling in plaats van een uitgefaseerd klassiek monitoringrecept uit een blog te kopiëren.

Houd de probe smal en saai: één bestemming, één poort, een frequentie die bij de operationele eis past, en een expliciete toestemmingsregel voor die bron.

Kies een check die bij de dienst past

Een TCP-verbinding naar de dienstpoort bewijst transportbereikbaarheid door de tunnel en zegt niets over TLS of de applicatie. Een HTTP-check voegt een statusverwachting toe en vangt een listener die verbindingen accepteert maar niet kan bedienen, wat de meest voorkomende fout is na een certificaat- of backendwijziging. Geen van beide is een geauthenticeerde bedrijfstransactie tenzij de test echt authenticeert, dus label het niet zo op het dashboard. Kies de check die faalt wanneer de klacht van de gebruiker optreedt.

ICMP is de zwakste van de drie, omdat veel stacks het volgens beleid laten vallen en een mislukte ping heel weinig bewijst.

Krijg beide signalen in Elastic zonder ze te verzinnen

De VPN-gateway publiceert platformmetrieken zoals tunnel-egress- en ingressbytes en tellers voor verloren pakketten, en kan diagnostische logboeken sturen in categorieën waaronder tunnel- en IKE-gebeurtenissen. Resultaten van Connection Monitor komen binnen via Azure Monitor als metrieken en via een Log Analytics-werkruimte als logrecords. Niets daarvan verschijnt vanzelf in een Elastic-index. Kies één ondersteunde pijplijn voor metrieken en één voor logboeken, meestal de Azure Event Hub-invoer of de Azure Monitor-integratie, en verifieer wat de geïnstalleerde integratie werkelijk opneemt voordat je het indexpatroon vertrouwt.

Bewaar de labels waarmee een operator de twee datasets kan koppelen: bron-eindpunt, bestemming, protocol en poort voor de probe, en tunnelidentiteit plus peer-adres voor de gateway.

Valideer de pijplijn met één gecontroleerde gebeurtenis, zoek die daarna in Elastic en controleer de tijdstempel en resourcelabels. Een document met een verkeerde tijdstempel is erger dan een ontbrekend, omdat het verouderde data actueel laat lijken.

Alarmeer op het verschil, niet op de kleur

Het punt van twee signalen zijn de combinaties. Tunnel neer moet de netwerkeigenaar oproepen; tunnel op met een falende probe de applicatie-eigenaar; een ontbrekend proberesultaat degene die de monitoringagent bezit. Alle drie in één rood paneel gooien garandeert dat het alarm binnen een maand wordt gedempt. Alarmeer op aanhoudend falen met een persistentievenster in plaats van op één meting, en voeg een aparte controle toe voor de gezondheid van de ingerichte pijplijn zelf.

Een dashboard vol geslaagde metingen van gisteren zou vandaag niet als een gezond pad gelezen moeten worden.

Opgeschreven is het contract klein: de tunnelmetriek zegt dat de gateway heeft onderhandeld, de probe zegt dat het pad werkt vanaf waar gebruikers zitten, en de pijplijngezondheid zegt of een van beide antwoorden actueel is. Al het andere op het dashboard is commentaar.