Monitorimi i VPN Azure Site: lidhni gjendjen e tunelit me një sondë reale

Çdo panel është i gjelbër, tuneli është aktiv prej njëmbëdhjetë ditësh dhe dega nuk mund të ngarkojë aplikacionin e brendshëm. Ky është simptomi për të cilin ekziston ky dizajn dhe nuk është defekt monitorimi. Gjendja e tunelit përgjigjet për një pyetje mbi negociimin, ndërsa përdoruesi pyet për një kërkesë që kalon nëpër katër vendime rrugëtimi dhe një shtresë politikash. Nevojiten të dy sinjalet, të mbajtura ndaras, dhe një mënyrë për t'i dalluar në mes të natës.

Filloni nga simptomi që dështon, jo nga tuneli

Një asociacion sigurie i vendosur do të thotë që palët u dakordësuan për një propozim dhe instalime çelësat. Nuk do të thotë që përzgjedhësit mbulojnë nënrrjetin që i duhet përdoruesit, që pala e largët ka rrugë kthimi ose që një mur zjarri pranon portën pas dekriptimit. Trafiku mund të dështojë edhe në anën e degës së tunelit, dhe atëherë Azure nuk sheh asgjë dhe raporton shëndet të përsosur. Metrika e tunelit është e nevojshme dhe kurrë e mjaftueshme.

Tre gjendje duhet të dallohen: tuneli është poshtë, tuneli është lart dhe shërbimi dështon, dhe vetë burimi i monitorimit nuk është i disponueshëm.

Vendosni sondën aty ku janë përdoruesit

Për një aplikacion nga dega në Azure, ekzekutoni testin sintetik nga një host në rrjetin e ngarkesës së degës dhe drejtojeni atë në pikën hyrëse private HTTPS që përdoruesit vërtet arrijnë. Një sondë e nisur nga porta përdor një adresë burimi tjetër dhe shpesh një rrugë politike tjetër, kështu që mund të kalojë ndërsa çdo përdorues dështon. Azure Connection Monitor mbështet kontrolle TCP, ICMP dhe HTTP me grupe testimi dhe pragje, dhe burimet e tij lokale kanë kërkesa agjenti të ndryshme nga ato në anën e Azure. Kontrolloni rregullimin aktualisht të mbështetur në vend që të kopjoni nga një blog një recetë klasike monitorimi të tërhequr.

Mbajeni sondën të ngushtë dhe të mërzitshme: një destinacion, një portë, një frekuencë që përputhet me kërkesën operative dhe një rregull eksplicit lejimi për atë burim.

Zgjidhni një kontroll që përputhet me shërbimin

Një lidhje TCP me portën e shërbimit provon arritshmërinë e transportit përmes tunelit dhe nuk thotë asgjë për TLS ose aplikacionin. Një kontroll HTTP shton një pritshmëri statusi dhe kap një dëgjues që pranon lidhje por nuk mund të shërbejë, që është dështimi më i zakonshëm pas një ndryshimi certifikate ose backend. Asnjëra nuk është një transaksion biznesi i vërtetuar nëse testi nuk vërteton vërtet, prandaj mos e etiketoni si të tillë në panel. Zgjidhni kontrollin që dështon kur shfaqet ankesa e përdoruesit.

ICMP është alternativa më e dobët nga të tre, pasi shumë stiva e hedhin sipas politikës dhe një ping i dështuar provon shumë pak.

Sillni të dy sinjalet në Elastic pa i sajuar

Porta VPN lëshon metrika platforme si bajtët e daljes dhe hyrjes së tunelit dhe numëruesit e humbjes së paketave, dhe mund të dërgojë regjistra diagnostikimi në kategori që përfshijnë ngjarjet e tunelit dhe IKE. Rezultatet e Connection Monitor vijnë përmes Azure Monitor si metrika dhe përmes një hapësire pune Log Analytics si regjistra. Asgjë nga kjo nuk shfaqet vetvetiu në një indeks Elastic. Zgjidhni një tubacion të mbështetur për metrikat dhe një për regjistrat, zakonisht hyrjen Azure Event Hub ose integrimin Azure Monitor, dhe verifikoni çfarë integrimi i instaluar thith në të vërtetë përpara se t'i besoni modelit të indeksit.

Ruani etiketat që i lejojnë operatorit të bashkojë dy grupet e të dhënave: pika fundore e burimit, destinacioni, protokolli dhe porta për sondën, dhe identiteti i tunelit plus adresa e bashkëbiseduesit për portën.

Vërtetoni tubacionin me një ngjarje të kontrolluar, pastaj kërkojeni në Elastic dhe kontrolloni vulën kohore dhe etiketat e burimeve. Një dokument me vulë kohore të gabuar është më keq se një që mungon, sepse i bën të dhënat e vjetra të duken aktuale.

Alarmoni për diferencën, jo për ngjyrën

Kuptimi i mbajtjes së dy sinjaleve janë kombinimet. Tunel poshtë duhet të thërrasë pronarin e rrjetit; tunel lart me sondë që dështon pronarin e aplikacionit; një rezultat sonde që mungon atë që zotëron agjentin e monitorimit. Bashkimi i të treve në një panel të kuq garanton që alarmi do të heshtet brenda një muaji. Alarmoni për dështim të vazhdueshëm me një dritare këmbënguljeje, jo për një mostër të vetme, dhe shtoni një kontroll të veçantë për shëndetin e vetë tubacionit të marrjes.

Një panel plot me mostra të suksesshme të djeshme nuk duhet të lexohet si rrugë e shëndetshme sot.

E shkruar, kontrata është e vogël: metrika e tunelit thotë që porta negocioi, sonda thotë që rruga funksionon nga aty ku rrinë përdoruesit, dhe shëndeti i tubacionit thotë nëse ndonjë nga përgjigjet është aktuale. Çdo gjë tjetër në panel është koment.