Monitorowanie VPN Azure Site: połącz stan tunelu z prawdziwą sondą

Każdy pulpit jest zielony, tunel działa od jedenastu dni, a oddział nie może załadować wewnętrznej aplikacji. To właśnie ten objaw jest powodem istnienia tego projektu i nie jest to błąd monitorowania. Stan tunelu odpowiada na pytanie o negocjację, podczas gdy użytkownik pyta o żądanie, które przechodzi przez cztery decyzje routingu i warstwę zasad. Potrzebne są oba sygnały, trzymane osobno, i sposób odróżnienia ich w środku nocy.

Zacznij od zawodzącego objawu, nie od tunelu

Ustanowione skojarzenie bezpieczeństwa oznacza, że strony uzgodniły propozycję i zainstalowały klucze. Nie oznacza, że selektory obejmują podsieć potrzebną użytkownikowi, że strona odległa ma trasę powrotną ani że zapora akceptuje port po odszyfrowaniu. Ruch może też zawieść po stronie oddziału, a wtedy Azure nic nie widzi i raportuje doskonałe zdrowie. Metryka tunelu jest konieczna i nigdy niewystarczająca.

Trzy stany muszą być rozróżnialne: tunel jest wyłączony, tunel jest włączony, a usługa zawodzi, oraz samo źródło monitorowania jest niedostępne.

Umieść sondę tam, gdzie są użytkownicy

Dla aplikacji z oddziału do Azure uruchom test syntetyczny z hosta w sieci obciążeń oddziału i skieruj go na prywatny punkt wejścia HTTPS, do którego użytkownicy naprawdę trafiają. Sonda uruchomiona z bramy używa innego adresu źródłowego i często innej ścieżki zasad, więc może przejść, gdy każdy użytkownik zawodzi. Azure Connection Monitor obsługuje kontrole TCP, ICMP i HTTP z grupami testowymi i progami, a jego źródła lokalne mają wymagania dotyczące agenta inne niż po stronie Azure. Sprawdź obecnie obsługiwany układ, zamiast kopiować z bloga wycofany klasyczny przepis monitorowania.

Trzymaj sondę wąską i nudną: jedno miejsce docelowe, jeden port, częstotliwość zgodna z wymaganiem operacyjnym i jawna reguła zezwalająca dla tego źródła.

Wybierz kontrolę dopasowaną do usługi

Połączenie TCP z portem usługi dowodzi osiągalności transportu przez tunel i nic nie mówi o TLS ani o aplikacji. Kontrola HTTP dodaje oczekiwanie statusu i wychwytuje nasłuchującego, który przyjmuje połączenia, ale nie potrafi obsłużyć, co jest częstszą awarią po zmianie certyfikatu lub backendu. Żadna z nich nie jest uwierzytelnioną transakcją biznesową, chyba że test naprawdę uwierzytelnia, więc nie oznaczaj jej tak na pulpicie. Wybierz kontrolę, która zawodzi, gdy pojawia się skarga użytkownika.

ICMP jest najsłabszą z trzech opcji, ponieważ wiele stosów odrzuca go zgodnie z zasadami, a nieudany ping dowodzi bardzo niewiele.

Dostarcz oba sygnały do Elastic, nie wymyślając ich

Brama VPN emituje metryki platformy, takie jak bajty wyjściowe i wejściowe tunelu oraz liczniki utraconych pakietów, i może wysyłać logi diagnostyczne w kategoriach obejmujących zdarzenia tunelu i IKE. Wyniki Connection Monitor przychodzą przez Azure Monitor jako metryki oraz przez obszar roboczy Log Analytics jako rekordy logów. Nic z tego samo nie pojawia się w indeksie Elastic. Wybierz jeden obsługiwany potok dla metryk i jeden dla logów, zwykle wejście Azure Event Hub lub integrację Azure Monitor, i sprawdź, co zainstalowana integracja faktycznie pobiera, zanim zaufasz wzorcowi indeksu.

Zachowaj etykiety, które pozwalają operatorowi połączyć oba zbiory danych: punkt końcowy źródła, cel, protokół i port dla sondy oraz tożsamość tunelu i adres peera dla bramy.

Zweryfikuj potok jednym kontrolowanym zdarzeniem, następnie znajdź je w Elastic i sprawdź jego znacznik czasu oraz etykiety zasobów. Dokument z błędnym znacznikiem czasu jest gorszy od brakującego, bo sprawia, że stare dane wyglądają na bieżące.

Alarmuj na różnicę, nie na kolor

Sensem dwóch sygnałów są kombinacje. Tunel wyłączony powinien wezwać właściciela sieci; tunel włączony z zawodzącą sondą właściciela aplikacji; brak wyniku sondy tego, kto posiada agenta monitorowania. Zlanie wszystkich trzech w jeden czerwony panel gwarantuje, że alarm zostanie wyciszony w ciągu miesiąca. Alarmuj na trwałą awarię z oknem trwałości, a nie na pojedynczą próbkę, i dodaj osobną kontrolę zdrowia samego potoku pobierania.

Pulpit pełen wczorajszych udanych próbek nie powinien dziś czytać się jako zdrowa ścieżka.

Zapisana umowa jest mała: metryka tunelu mówi, że brama wynegocjowała, sonda mówi, że ścieżka działa stamtąd, gdzie siedzą użytkownicy, a zdrowie potoku mówi, czy któraś odpowiedź jest aktualna. Wszystko inne na pulpicie to komentarz.