Праћење Azure Site VPN-а: повежите стање тунела са стварном сондом

Свака контролна табла је зелена, тунел је активан једанаест дана, а огранак не може да учита интерну апликацију. То је симптом због којег овај дизајн постоји и није грешка у праћењу. Стање тунела одговара на питање о преговарању, док корисник пита о захтеву који пролази кроз четири одлуке усмеравања и слој правила. Потребна су оба сигнала, одвојена, и начин да их разликујете у сред ноћи.

Почните од симптома отказа, а не од тунела

Успостављена безбедносна асоцијација значи да су се стране договориле о предлогу и инсталирале кључеве. Не значи да селектори покривају подмрежу која кориснику треба, да удаљена страна има повратну руту или да заштитни зид прихвата порт након дешифровања. Саобраћај може пасти и на страни огранка, и тада Azure ништа не види и пријављује савршено здравље. Метрика тунела је неопходна и никада довољна.

Три стања морају се разликовати: тунел је пао, тунел је активан а услуга не ради, и сам извор праћења није доступан.

Поставите сонду тамо где су корисници

За апликацију од огранка према Azure-у покрените синтетички тест са хоста у радној мрежи огранка и усмерите га на приватну HTTPS улазну тачку коју корисници заиста погађају. Сонда покренута са пролаза користи другу изворну адресу и често другу путању правила, па може проћи док сваки корисник пада. Azure Connection Monitor подржава TCP, ICMP и HTTP провере са тестним групама и праговима, а његови локални извори имају захтеве за агентом који се разликују од оних на страни Azure-а. Проверите тренутно подржани распоред уместо да копирате застарели рецепт класичног праћења са блога.

Држите сонду уском и досадном: једно одредиште, један порт, учесталост која одговара оперативном захтеву и изричито правило дозволе за тај извор.

Изаберите проверу која одговара услузи

TCP веза на порт услуге доказује доступност преноса кроз тунел и не говори ништа о TLS-у ни о апликацији. HTTP провера додаје очекивање статуса и хвата слушаоца који прихвата везе али не може да служи, што је чешћи квар након промене сертификата или позадинског система. Ниједна није аутентификована пословна трансакција ако тест заиста не аутентификује, па је тако не означавајте на табли. Изаберите проверу која пада када се појави корисничка жалба.

ICMP је најслабија од три могућности, јер га многи стекови одбацују по правилима и неуспешан пинг доказује врло мало.

Доведите оба сигнала у Elastic без измишљања

VPN пролаз емитује платформске метрике као што су излазни и улазни бајтови тунела и бројачи изгубљених пакета, и може да шаље дијагностичке записе у категоријама укључујући догађаје тунела и IKE. Резултати Connection Monitor-а долазе преко Azure Monitor-а као метрике и преко радног простора Log Analytics као записи. Ништа од тога се само не појављује у Elastic индексу. Изаберите један подржани ток за метрике и један за записе, обично Azure Event Hub улаз или Azure Monitor интеграцију, и проверите шта инсталирана интеграција заиста прима пре него што поверујете обрасцу индекса.

Задржите ознаке које оператеру омогућавају спајање два скупа података: изворна крајња тачка, одредиште, протокол и порт за сонду, те идентитет тунела и адреса партнера за пролаз.

Проверите ток једним контролисаним догађајем, затим га пронађите у Elastic-у и проверите његову временску ознаку и ознаке ресурса. Документ са погрешном временском ознаком гори је од недостајућег јер застареле податке приказује актуелнима.

Алармирајте на разлику, не на боју

Смисао два сигнала су комбинације. Тунел пао треба да позове власника мреже; тунел активан уз сонду која пада власника апликације; недостајући резултат сонде онога ко поседује агента за праћење. Спајање сва три у један црвени панел гарантује да ће аларм бити искључен у року од месец дана. Алармирајте на трајни квар са прозором постојаности, а не на један узорак, и додајте засебну проверу здравља самог тока за пријем.

Табла пуна јучерашњих успешних узорака не треба да се данас чита као здрава путања.

Записано, уговор је мали: метрика тунела каже да је пролаз преговарао, сонда каже да путања ради са места где корисници седе, а здравље тока каже да ли је неки од одговора актуелан. Све остало на табли је коментар.