Določite objekt VPN, preden izberete SNMP ali API

Pred transportom so tri odločitve: kateri objekt opozorilo opisuje, katero smer in obseg pokriva ter kako sveže mora biti branje. SNMP, API HTTPS in aplikacijska sonda lahko vsi poročajo nekaj o VPN in ne bodo poročali iste stvari. Zamenjava protokolov brez rešitve teh treh spremeni le, kje se zbira zmeda. Objekt in pomen opozorila sta zasnova; protokol je dostava.

Nadzorna plošča, ki štiri različna opažanja spremeni v eno zeleno ikono, je to odločitev že slabo sprejela.

Kaj naj bi opozorilo pravzaprav pomenilo?

Lahko pomeni, da se partner ne more preveriti, da ni zaščitenega stanja podatkov, da pot kaže na napačno mesto ali da aplikacija ne more dokončati svojega dela. Vsako od tega ima svojega lastnika, svoje prvo preverjanje in svojo stopnjo lažno pozitivnih. Partner, ki se ne more preveriti, je problem identitete, manjkajoča varnostna povezava je problem stanja protokola, pot je problem konfiguracije, odpoved aplikacije pa morda ni nobena od teh. Odločite se, za katero je opozorilo, preden izberete zbiralnik.

Zapišite ga kot stavek, po katerem lahko dežurni inženir ukrepa. Če stavek potrebuje dva objekta, sta to dve opozorili, ne eno napol pravilno.

Tabela TCP opisuje TCP

RFC 4022 določa tcpConnectionTable, katerega vrstice opisujejo vzpostavljene povezave TCP, s ključem po vrsti naslova, naslovu in vratih na obeh koncih. Vrstice izginejo, ko se povezava zapre, in poslušajoče vtičnice se pojavijo v drugi tabeli. Izvajanje VPN na istem stroju ne spremeni tabele TCP v popis varnostnih povezav IPsec. Lahko opisuje upravljalno sejo, tok aplikacije ali predor, prenesen po TCP, in sama vrstica vam ne bo povedala, kateri.

Števci vmesnikov nosijo enako dvoumnost na bolj grobi ravni: bajti na vmesniku združujejo vsakega partnerja in vsak tok, ki ga uporablja.

Zgradite majhno pogodbo o opazovanju

Za vsako metriko zabeležite podprti objekt ali polje API, lastniško napravo in različico programske opreme, identifikator partnerja ali storitve, smer, čas zbiranja in pričakovano vedenje osveževanja. Nato uporabite dokumentirani pogled asociacij ali sej prehoda za stanje protokola, usmerjevalno tabelo za stanje poti in ozko dovoljeno zahtevo za stanje aplikacije. Delujoča upravljalna končna točka dokazuje, da upravljalna končna točka deluje, in ničesar o aplikaciji za njo.

Če nameščeni agent nima zahtevanih objektov, izberite drug izrecno podprt vmesnik samo za branje. Izmišljanje OID, branje splošnega števca TCP kot števca predorov ali pričakovanje, da bo stari API dobavitelja nespremenjen preživel v sestrskem izdelku, so vse slepe ulice.

Zastareli podatki niso odpoved predora

Časovna omejitev zbiranja, potekla poverilnica ali spremenjena pot API ustvarijo manjkajočo telemetrijo. To je odpoved nadzora in drug incident kot predor, ki je padel. Zabeležite, katero opažanje je zastaralo in kdaj, da bo operater dobil smiselno prvo preverjanje namesto ponastavitve predora. Obravnavanje vsake časovne omejitve kot izpada VPN ljudi nauči ignorirati oboje.

Tudi dovoljenja za zbiranje naj bodo ozka. Vmesnik, ki lahko spreminja konfiguracijo ali briše seje, nosi mejo pravic, ki je nadzorna naloga ne bi smela podedovati, in račun samo za branje običajno zadostuje.

Uporabna zasnova poimenuje objekt, pomen in zahtevo po svežini. Izbira protokola izhaja iz tega, ne obratno.