Azure Site VPN-overvaking: par tunnelstatus med ei ekte probe

Kvart dashbord er grønt, tunnelen har vore oppe i elleve dagar, og filialen får ikkje lasta den interne applikasjonen. Det er symptomet dette designet finst for, og det er ikkje ein overvakingsfeil. Tunnelstatus svarar på eit spørsmål om forhandling, medan brukaren spør om ein førespurnad som kryssar fire rutingsavgjerder og eit politikk-lag. Du treng begge signala, haldne kvar for seg, og ein måte å skilja dei midt på natta.

Start med symptomet som feilar, ikkje tunnelen

Ein etablert tryggingsassosiasjon tyder at partane vart samde om eit framlegg og installerte nøklar. Det tyder ikkje at selektorane dekkjer subnettet brukaren treng, at fjernsida har ein returveg, eller at ein brannmur godtek porten etter dekryptering. Trafikk kan også feila på filialsida av tunnelen, og då ser Azure ingenting og rapporterer perfekt helse. Tunnelmetrikken er naudsynt og aldri tilstrekkeleg.

Tre tilstandar må kunne skiljast: tunnelen er nede, tunnelen er oppe og tenesta feilar, og overvakingskjelda sjølv er utilgjengeleg.

Set proba der brukarane er

For ein applikasjon frå filial til Azure, køyr den syntetiske testen frå ein vert i arbeidslastnettverket til filialen og peik han mot det private HTTPS-innpunktet brukarane faktisk treff. Ei probe som startar frå gatewayen brukar ei anna kjeldeadresse og ofte ein annan politikkveg, så ho kan passera medan kvar brukar feilar. Azure Connection Monitor støttar TCP-, ICMP- og HTTP-sjekkar med testgrupper og tersklar, og dei lokale kjeldene har agentkrav som skil seg frå dei på Azure-sida. Sjekk den støtta oppsettet i dag i staden for å kopiera ein utfasa klassisk overvakingsoppskrift frå ein blogg.

Hald proba smal og keisam: eitt mål, éin port, ein frekvens som passar driftskravet, og ein eksplisitt løyveregel for den kjelda.

Vel ein sjekk som passar til tenesta

Ein TCP-tilkopling til tenesteporten beviser transporttilgjenge gjennom tunnelen og seier ingenting om TLS eller applikasjonen. Ein HTTP-sjekk legg til ei statusforventning og fangar ein lyttar som tek imot tilkoplingar men ikkje kan tena, som er den vanlegare feilen etter ei sertifikat- eller backend-endring. Ingen av dei er ein autentisert forretningstransaksjon med mindre testen faktisk autentiserer, så ikkje merk han som det i dashbordet. Vel sjekken som feilar når klaga frå brukaren kjem.

ICMP er det svakaste av dei tre, sidan mange stablar droppar det etter politikk og ein mislukka ping beviser svært lite.

Få begge signala inn i Elastic utan å dikta dei opp

VPN-gatewayen sender ut plattformmålingar som tunnel-egress- og ingressbytes og teljarar for tapte pakkar, og kan senda diagnostikkloggar i kategoriar som omfattar tunnel- og IKE-hendingar. Resultat frå Connection Monitor kjem via Azure Monitor som målingar og via eit Log Analytics-arbeidsområde som loggpostar. Ingenting av dette viser seg i ein Elastic-indeks av seg sjølv. Vel éin støtta pipeline for målingar og éin for loggar, vanlegvis Azure Event Hub-inndata eller Azure Monitor-integrasjonen, og stadfest kva den installerte integrasjonen faktisk tek inn før du stolar på indeksmønsteret.

Hald på etikettene som lèt ein operatør kopla dei to datasetta: kjeldeendepunkt, mål, protokoll og port for proba, og tunnelidentitet pluss peer-adresse for gatewayen.

Valider pipelinen med éi kontrollert hending, søk så etter henne i Elastic og sjekk tidsstempelet og ressurseetikettene. Eit dokument med feil tidsstempel er verre enn eit som manglar, fordi det får utdaterte data til å sjå aktuelle ut.

Varsle på skilnaden, ikkje på fargen

Poenget med to signal er kombinasjonane. Tunnel nede bør varsle netverksleiaren; tunnel oppe med ei probe som feilar bør varsle applikasjonseigaren; eit manglande proberesultat bør varsle den som eig overvakingsagenten. Å slå alle tre saman i eitt raudt panel garanterer at varselet blir dempa innan ein månad. Varsle på vedvarande feil med eit uthaldingsvindauge i staden for på éin prøve, og legg til ein eigen sjekk for helsa til inntakspipelinen sjølv.

Eit dashbord fullt av gårsdagens lukkast prøver bør ikkje lesast som ein sunn veg i dag.

Skrive ned er kontrakten liten: tunnelmetrikken seier at gatewayen forhandla, proba seier at vegen fungerer der brukarane sit, og pipeline-helsa seier om noko av svara er aktuelt. Alt anna på dashbordet er kommentar.