Spremljanje Azure Site VPN: povežite stanje predora z resnično sondo

Vsaka nadzorna plošča je zelena, predor deluje enajst dni, podružnica pa ne more naložiti notranje aplikacije. To je simptom, zaradi katerega ta zasnova obstaja, in ni napaka v spremljanju. Stanje predora odgovarja na vprašanje o pogajanju, uporabnik pa sprašuje o zahtevi, ki gre skozi štiri odločitve usmerjanja in plast pravil. Potrebna sta oba signala, ločena, in način, kako ju ponoči razlikovati.

Začnite pri simptomu odpovedi, ne pri predoru

Vzpostavljena varnostna povezava pomeni, da sta se strani dogovorili o predlogu in namestili ključe. Ne pomeni, da izbirniki pokrivajo podomrežje, ki ga uporabnik potrebuje, da ima oddaljena stran povratno pot ali da požarni zid sprejme vrata po dešifriranju. Promet lahko odpove tudi na podružnični strani predora, in takrat Azure ne vidi ničesar ter poroča o popolnem zdravju. Metrika predora je nujna in nikoli zadostna.

Treba je ločiti tri stanja: predor je spodaj, predor je zgoraj in storitev odpove, ter sam vir spremljanja ni na voljo.

Sondo postavite tja, kjer so uporabniki

Za aplikacijo iz podružnice v Azure zaženite sintetični test z gostitelja v delovnem omrežju podružnice in ga usmerite na zasebno vstopno točko HTTPS, ki jo uporabniki res dosežejo. Sonda, zagnana s prehoda, uporablja drug izvorni naslov in pogosto drugo pot pravil, zato lahko uspe, medtem ko vsak uporabnik odpove. Azure Connection Monitor podpira preverjanja TCP, ICMP in HTTP s testnimi skupinami in pragovi, njegovi lokalni viri pa imajo zahteve za agenta, ki se razlikujejo od tistih na strani Azure. Preverite trenutno podprto postavitev, namesto da bi kopirali iz bloga opuščen klasični recept za spremljanje.

Sondo držite ozko in dolgočasno: en cilj, ena vrata, pogostost, ki ustreza obratovalni zahtevi, in izrecno pravilo dovoljenja za ta vir.

Izberite preverjanje, ki ustreza storitvi

Povezava TCP na vrata storitve dokazuje dosegljivost prenosa skozi predor in ne pove ničesar o TLS ali aplikaciji. Preverjanje HTTP doda pričakovanje stanja in ujame poslušalca, ki sprejema povezave, a ne more streči, kar je pogostejša napaka po spremembi potrdila ali zaledja. Nobeno ni overjena poslovna transakcija, razen če test res overja, zato ga na plošči ne označite tako. Izberite preverjanje, ki odpove, ko se pojavi uporabnikova pritožba.

ICMP je najšibkejša od treh možnosti, saj ga številni skladi zavržejo po pravilih in neuspešen ping dokaže zelo malo.

Prinesite oba signala v Elastic, ne da bi si ju izmislili

Prehod VPN oddaja platformne meritve, kot so izhodni in vhodni bajti predora ter števci izgubljenih paketov, in lahko pošilja diagnostične dnevnike v kategorijah, vključno z dogodki predora in IKE. Rezultati Connection Monitor prihajajo prek Azure Monitor kot meritve in prek delovnega prostora Log Analytics kot dnevniki. Nič od tega se samo ne pojavi v indeksu Elastic. Izberite en podprt tok za meritve in enega za dnevnike, običajno vhod Azure Event Hub ali integracijo Azure Monitor, in preverite, kaj nameščena integracija v resnici sprejema, preden zaupate vzorcu indeksa.

Ohranite oznake, ki operaterju omogočajo povezati oba nabora podatkov: izvorna končna točka, cilj, protokol in vrata za sondo ter identiteta predora in naslov partnerja za prehod.

Preverite tok z enim nadzorovanim dogodkom, nato ga poiščite v Elastic in preverite njegov časovni žig in oznake virov. Dokument z napačnim časovnim žigom je slabši od manjkajočega, ker naredi zastarele podatke videti aktualne.

Alarmirajte na razliko, ne na barvo

Smisel dveh signalov so kombinacije. Predor spodaj naj pokliče lastnika omrežja; predor zgoraj z odpovedjo sonde lastnika aplikacije; manjkajoč rezultat sonde tistega, ki ima agenta za spremljanje. Združitev vseh treh v eno rdečo ploščo zagotavlja, da bo alarm v mesecu dni utišan. Alarmirajte na trajno odpoved z oknom vztrajnosti, ne na en vzorec, in dodajte ločeno preverjanje zdravja samega toka za zajem.

Plošča, polna včerajšnjih uspešnih vzorcev, se danes ne sme brati kot zdrava pot.

Zapisano je dogovor majhen: metrika predora pove, da se je prehod pogajal, sonda pove, da pot deluje od tam, kjer sedijo uporabniki, zdravje toka pa pove, ali je kateri od odgovorov aktualen. Vse drugo na plošči je komentar.