Definer VPN-objektet før du vel SNMP eller API

Tre avgjerder kjem før transporten: kva objekt varslinga skildrar, kva retning og omfang ho dekkjer, og kor fersk lesinga må vere. SNMP, eit HTTPS-API og ei programprobe kan alle rapportere noko om ein VPN, og dei rapporterer ikkje det same. Å byte protokoll utan å avgjere desse tre endrar berre kvar forvirringa blir samla. Objektet og tydinga til varslinga er designet; protokollen er leveransen.

Eit dashbord som gjer fire ulike observasjonar om til eitt grønt ikon, har allereie teke den avgjerda dårleg.

Kva skal varslinga eigentleg bety?

Det kan bety at ein peer ikkje kan autentisere, at ingen verna datatilstand finst, at ei rute peikar på feil stad, eller at eit program ikkje kan fullføre arbeidet sitt. Kvar av desse har sin eigen eigar, sin eigen første kontroll og sin eigen falsk-positive rate. Ein peer som ikkje kan autentisere, er eit identitetsproblem, ein manglande tryggingsassosiasjon er eit protokolltilstandsproblem, ei rute er eit konfigurasjonsproblem, og ein programfeil kan vere ingen av dei. Avgjer kva varslinga gjeld, før du vel ein innsamlar.

Skriv ho som ei setning som den vaktande ingeniøren kan handle på. Viss setninga treng to objekt, er det to varslingar, ikkje éi som er halvvegs riktig.

Ein TCP-tabell skildrar TCP

RFC 4022 spesifiserer tcpConnectionTable, der radene skildrar etablerte TCP-tilkoplingar, nøkla på adressetype, adresse og port i begge endar. Radene forsvinn når tilkoplinga blir lukka, og lyttande sokkar dukkar opp i ein annan tabell. Å køyre ein VPN på same maskin gjer ikkje ein TCP-tabell til ei oversikt over IPsec-tryggingsassosiasjonar. Han kan skildre ein administrasjonssesjon, ein programstraum eller ein tunnel boren over TCP, og rada sjølv fortel deg ikkje kva.

Grensesnittteljarar ber den same tvitydigheita på eit grovare nivå: byte på eit grensesnitt samlar kvar peer og kvar straum som brukar det.

Bygg ein liten observasjonskontrakt

For kvar metrikk, registrer det støtta objektet eller API-feltet, den eigde eininga og programvareversjonen, peer- eller tenesteidentifikatoren, retninga, innsamlingstida og forventa oppdateringsåtferd. Bruk deretter den dokumenterte assosiasjons- eller sesjonsvisinga til gatewayen for protokolltilstand, rutetabellen for stitilstand og ei smal tillaten førespurnad for programtilstand. Eit fungerande administrasjonsendepunkt beviser at administrasjonsendepunktet verkar, og ingenting om programmet bak det.

Viss den installerte agenten manglar dei nødvendige objekta, vel eit anna eksplisitt støtta skriveverna grensesnitt. Å finne opp ein OID, lese ei generisk TCP-teljing som ei tunnelteljing eller forvente at eit gamalt leverandør-API overlever uendra i eit systerprodukt er alle blindvegar.

Utdaterte data er ikkje ein tunnelfeil

Ein innsamlingstidsavbrot, ein utgått legitimasjon eller ein endra API-sti gir manglande telemetri. Det er ein overvakingsfeil og ei anna hending enn ein tunnel som fall. Registrer kva observasjon som vart utdatert og når, slik at operatøren får ein meiningsfull første kontroll i staden for ein tunneltilbakestilling. Å handsame kvart tidsavbrot som eit VPN-utfall lærer folk å ignorere begge.

Hald også innsamlingstillatingane smale. Eit grensesnitt som kan endre konfigurasjon eller slette sesjonar, ber ein privilegieavgrensing som ein overvakingsoppgåve ikkje bør arve, og ein skriveverna konto er vanlegvis tilstrekkeleg.

Det nyttige designet namngir objektet, tydinga og ferskleikskravet. Protokollvalet følgjer av desse, ikkje omvendt.