Kde sú protokoly Azure Point-to-Site VPN? Pozrite sa do Monitora

Používateľ sa nemôže pripojiť k bráne Point-to-Site, otvoríte okno brány a na stránke nikde nie je história pripojení. Konfigurácia, certifikáty, stav: všetko prítomné, žiadne záznamy. Protokoly existujú, ale sieťové stránky ich vôbec nevytvárajú. Pochádzajú z diagnostického nastavenia pripojeného k prostriedku brány a toto nastavenie žije v Monitore; preto prvé hľadanie na očividnom mieste nič nevráti a ľudia usúdia, že služba nevedie žiadnu audítorskú stopu.

Prečo očividné hľadanie zlyháva

Staršie príručky tvrdia, že Azure Point-to-Site VPN nemá audit, a to platilo, keď služba neposkytovala žiadny záznam na pripojenie. Súčasné brány publikujú diagnostické záznamy tunela, takže užitočná otázka sa zmenila: nie či protokoly existujú, ale ktorý prostriedok ich vydáva a ktorú kategóriu ste zapli. Okno brány je konfiguračná plocha a konfiguračné plochy len zriedka slúžia aj ako prehliadače protokolov. Diagnostické nastavenie je objekt pre každý prostriedok, takže zvolený prostriedok určuje všetko, čo nasleduje.

Druhá polovica zmätku je autentifikácia. Pripojenia Point-to-Site založené na certifikátoch negenerujú udalosť prihlásenia pre jednotlivého používateľa ako poskytovateľ identity, takže neexistuje záznam o menovanej osobe, ktorá zadáva heslo.

Pripojte diagnostické nastavenie k prostriedku brány

Otvorte Monitor, potom Diagnostic settings a pridajte nové nastavenie, ktorého cieľom je samotná brána virtuálnej siete, a nie virtuálna sieť, ktorá ju obsahuje. Vyberte diagnostickú kategóriu Point-to-Site, tú s názvom P2SDiagnosticLog, pretože práve tá nesie záznamy o pripojeniach pre jednotlivých klientov; kategórie tunela, trasy alebo IKE pridávajte len pre chyby site-to-site, ktoré pokrývajú. Potom odošlite údaje do pracovného priestoru Log Analytics, ktorý ovládate, s dobou uchovávania, ktorú ste vybrali zámerne. Väčšina neúspešných hľadaní je nastavenie pripojené k nesprávnemu prostriedku, nie chýbajúca funkcia.

Zoznamy kategórií sa líšia podľa typu a generácie brány. Ak kategória Point-to-Site chýba, brána môže byť staršia ako funkcia alebo môže bežať na SKU, ktorý ju nikdy nevydáva, preto pred hľadaním problému s oprávneniami skontrolujte podporované kategórie. Brána bez kategórie Point-to-Site nie je pokazená; jednoducho nemôže byť zdrojom toho záznamu a najbližšou náhradou je kategória tunela alebo IKE, ktorá zaznamenáva adresu klienta, aj keď neopisuje reláciu Point-to-Site. Potvrďte zoznam kategórií, skôr než otvoríte prípad podpory ohľadne chýbajúcich protokolov.

Čítajte záznamy v tabuľke, ktorú používa váš režim

V staršom režime zhromažďovania položky končia v tabuľke AzureDiagnostics a kategória sa zobrazí ako hodnota stĺpca; pri tabuľkách špecifických pre prostriedok má brána vlastnú tabuľku. V oboch prípadoch sa dopytujte podľa prostriedku brány a časového okna okolo neúspešného pokusu a potom čítajte koreláciu namiesto jednotlivých riadkov:

AzureDiagnostics
| where ResourceType == "VIRTUALNETWORKGATEWAYS"
| where _ResourceId has "gateway-name"
| where TimeGenerated > ago(2h)
| project TimeGenerated, Category, OperationName, ResultType, ResultDescription
| order by TimeGenerated desc

Sada stĺpcov sa riadi vaším režimom zhromažďovania, preto berte dopyt ako tvar, nie ako skript. Hľadáte adresu klienta, ktorá sa objaví a potom zmizne, s typom výsledku, ktorý nie je úspech.

Spojte záznam brány s vlastným pohľadom klienta

Protokoly brány opisujú tunel, nie prečo notebook nedokázal nejaký vytvoriť. Zozbierajte stranu klienta v rovnakej časovej značke: protokol udalostí Windows pre klienta RAS, protokol pripojení macOS alebo text chyby, ktorý zobrazila klientska aplikácia. Záznam brány bez zodpovedajúceho pokusu klienta ukazuje na klienta; klient hlásiaci úspech, zatiaľ čo brána nič nezaznamenáva, zvyčajne znamená, že profil mieri na inú bránu.

Udržujte obe polovice v tom istom tikete. Samotný protokol brány zvádza k nesprávnemu záveru a samotný protokol klienta nemôže ukázať, či paket vôbec dorazil.

Ak sa nič neobjaví na žiadnom mieste, skontrolujte hodiny na klientovi, skôr než začnete pochybovať o platforme. Skreslené časové značky spôsobia, že korelácia zlyhá spôsobom, ktorý vyzerá presne ako chýbajúce údaje.

Uchovávanie, rozsah a zápis do runbooku

Záznamy tunela nesú adresy klientov a časové značky pripojení, preto k nim pristupujte ako k osobným údajom s plánom výmazu, namiesto ponechania predvoleného nastavenia platformy. Skontrolujte tiež, že pracovný priestor neprijíma každú kategóriu z každého prostriedku v predplatnom, pretože hlučný pracovný priestor robí koreláciu pomalšou ako priame čítanie klientskeho protokolu.

Nakoniec zapíšte názov nastavenia, pracovný priestor a zvolené kategórie do runbooku brány. Ďalší človek, ktorý bude ladiť klienta, sa najprv pozrie do okna brány, nič nenájde a usúdi, že protokoly neexistujú.