Monitorovanie Azure Site VPN: spárujte stav tunela so skutočnou sondou

Každý panel je zelený, tunel beží jedenásť dní a pobočka nedokáže načítať internú aplikáciu. To je príznak, pre ktorý tento návrh existuje, a nie je to chyba monitorovania. Stav tunela odpovedá na otázku o vyjednávaní, zatiaľ čo používateľ sa pýta na požiadavku, ktorá prechádza štyrmi rozhodnutiami o smerovaní a vrstvou politík. Potrebujete oba signály, oddelené, a spôsob, ako ich uprostred noci rozlíšiť.

Začnite od zlyhávajúceho príznaku, nie od tunela

Ustanovená bezpečnostná asociácia znamená, že strany sa dohodli na návrhu a nainštalovali kľúče. Neznamená to, že selektory pokrývajú podsieti, ktorú používateľ potrebuje, že vzdialená strana má spiatočnú trasu alebo že firewall prijme port po dešifrovaní. Premávka môže zlyhať aj na pobočkovej strane tunela, a vtedy Azure nič nevidí a hlási dokonalé zdravie. Metrika tunela je nutná a nikdy nestačí.

Treba rozlíšiť tri stavy: tunel je dole, tunel je hore a služba zlyháva, a samotný zdroj monitorovania nie je dostupný.

Umiestnite sondu tam, kde sú používatelia

Pre aplikáciu z pobočky do Azure spúšťajte syntetický test z hostiteľa v pracovnej sieti pobočky a mierte ho na súkromný vstupný bod HTTPS, ktorý používatelia naozaj používajú. Sonda spustená z brány používa inú zdrojovú adresu a často inú cestu politiky, takže môže prejsť, zatiaľ čo každý používateľ zlyháva. Azure Connection Monitor podporuje kontroly TCP, ICMP a HTTP s testovacími skupinami a prahmi a jeho miestne zdroje majú požiadavky na agenta odlišné od tých na strane Azure. Overte aktuálne podporované usporiadanie, namiesto kopírovania vyradeného klasického receptu na monitorovanie z blogu.

Držte sondu úzku a nudnú: jeden cieľ, jeden port, frekvencia zodpovedajúca prevádzkovej požiadavke a výslovné pravidlo povolenia pre tento zdroj.

Vyberte kontrolu, ktorá zodpovedá službe

TCP spojenie na port služby preukazuje dostupnosť transportu tunelom a nič nehovorí o TLS ani o aplikácii. Kontrola HTTP pridáva očakávanie stavu a zachytí poslucháča, ktorý prijíma spojenia, ale nedokáže obsluhovať, čo je častejšia porucha po zmene certifikátu alebo backendu. Ani jedna nie je autentizovaná obchodná transakcia, ak test skutočne neautentizuje, preto ju tak na paneli neoznačujte. Vyberte kontrolu, ktorá zlyhá, keď nastane sťažnosť používateľa.

ICMP je najslabšia z troch možností, keďže mnohé zásobníky ho podľa politiky zahadzujú a neúspešný ping dokazuje veľmi málo.

Dostaňte oba signály do Elastic bez toho, aby ste si ich vymýšľali

Brána VPN vydáva platformové metriky, ako sú bajty výstupu a vstupu tunela a počítadlá stratených paketov, a môže odosielať diagnostické protokoly v kategóriách vrátane udalostí tunela a IKE. Výsledky Connection Monitor prichádzajú cez Azure Monitor ako metriky a cez pracovný priestor Log Analytics ako záznamy protokolu. Nič z toho sa samo neobjaví v indexe Elastic. Zvoľte jeden podporovaný kanál pre metriky a jeden pre protokoly, zvyčajne vstup Azure Event Hub alebo integráciu Azure Monitor, a overte, čo nainštalovaná integrácia skutočne prijíma, skôr než vzoru indexu uveríte.

Zachovajte štítky, ktoré operátorovi umožnia spojiť oba súbory údajov: zdrojový koncový bod, cieľ, protokol a port pre sondu a identitu tunela plus adresu partnera pre bránu.

Overte kanál jednou riadenou udalosťou, potom ju vyhľadajte v Elastic a skontrolujte jej časovú pečiatku a štítky prostriedkov. Dokument s nesprávnou časovou pečiatkou je horší ako chýbajúci, pretože robí zastarané údaje aktuálnymi.

Alerujte na rozdiel, nie na farbu

Zmyslom dvoch signálov sú kombinácie. Tunel dole má volať vlastníka siete; tunel hore so zlyhávajúcou sondou vlastníka aplikácie; chýbajúci výsledok sondy toho, kto vlastní monitorovacieho agenta. Zlúčenie všetkých troch do jedného červeného panelu zaručí, že alert bude do mesiaca stlmený. Alerujte na pretrvávajúcu poruchu s oknom trvalosti, nie na jednu vzorku, a pridajte samostatnú kontrolu zdravia samotného kanála na príjem údajov.

Panel plný včerajších úspešných vzoriek by sa dnes nemal čítať ako zdravá cesta.

Zapísané je zmluva malá: metrika tunela hovorí, že brána vyjednala, sonda hovorí, že cesta funguje odtiaľ, kde sedia používatelia, a zdravie kanála hovorí, či je niektorá z odpovedí aktuálna. Všetko ostatné na paneli je komentár.