Azure Site VPN-övervakning: para ihop tunnelstatus med en riktig probe

Varje instrumentpanel är grön, tunneln har varit uppe i elva dagar, och filialen kan inte ladda den interna applikationen. Det är symptomet den här designen finns för, och det är inte en övervakningsbugg. Tunnelstatus svarar på en fråga om förhandling, medan användaren frågar om en begäran som passerar fyra routingbeslut och ett policylager. Du behöver båda signalerna, hållna åtskilda, och ett sätt att skilja dem mitt i natten.

Börja med det felande symptomet, inte tunneln

En etablerad säkerhetsassociation betyder att parterna kom överens om ett förslag och installerade nycklar. Det betyder inte att selektorerna täcker subnätet användaren behöver, att fjärrsidan har en returväg, eller att en brandvägg accepterar porten efter dekryptering. Trafiken kan också fallera på filialsidan av tunneln, och då ser Azure ingenting och rapporterar perfekt hälsa. Tunnelmetriken är nödvändig och aldrig tillräcklig.

Tre tillstånd måste gå att skilja: tunneln är nere, tunneln är uppe och tjänsten fallerar, och själva övervakningskällan är otillgänglig.

Sätt proben där användarna är

För en applikation från filial till Azure, kör det syntetiska testet från en värd i filialens arbetslastnät och rikta det mot den privata HTTPS-ingången som användarna faktiskt når. En probe som startas från gatewayen använder en annan källadress och ofta en annan policymässig väg, så den kan passera medan varje användare fallerar. Azure Connection Monitor stöder TCP-, ICMP- och HTTP-kontroller med testgrupper och trösklar, och dess lokala källor har agentkrav som skiljer sig från dem på Azure-sidan. Kontrollera den aktuellt stödda uppställningen i stället för att kopiera ett avvecklat klassiskt övervakningsrecept från en blogg.

Håll proben smal och tråkig: ett mål, en port, en frekvens som matchar driftkravet, och en uttrycklig tillåtelseregel för den källan.

Välj en kontroll som matchar tjänsten

En TCP-anslutning till tjänsteporten bevisar transportnåbarhet genom tunneln och säger ingenting om TLS eller applikationen. En HTTP-kontroll lägger till en statusförväntan och fångar en lyssnare som accepterar anslutningar men inte kan betjäna, vilket är det vanligare felet efter en certifikat- eller backendändring. Ingen av dem är en autentiserad affärstransaktion om inte testet faktiskt autentiserar, så märk den inte så i instrumentpanelen. Välj den kontroll som fallerar när användarens klagomål inträffar.

ICMP är det svagaste av de tre, eftersom många stackar släpper det enligt policy och en misslyckad ping bevisar mycket lite.

Få in båda signalerna i Elastic utan att hitta på dem

VPN-gatewayen avger plattformsmetriker som tunnel-egress- och ingressbytes och räknare för paketförluster, och kan skicka diagnostikloggar i kategorier inklusive tunnel- och IKE-händelser. Resultat från Connection Monitor kommer via Azure Monitor som metriker och via en Log Analytics-arbetsyta som loggposter. Inget av detta dyker upp i ett Elastic-index av sig självt. Välj en stödd pipeline för metriker och en för loggar, vanligen Azure Event Hub-indata eller Azure Monitor-integrationen, och verifiera vad den installerade integrationen faktiskt tar in innan du litar på indexmönstret.

Behåll etiketterna som låter en operatör koppla ihop de två datamängderna: källändpunkt, mål, protokoll och port för proben, samt tunnelidentitet och peer-adress för gatewayen.

Validera pipelinen med en kontrollerad händelse, sök sedan efter den i Elastic och kontrollera dess tidsstämpel och resursetiketter. Ett dokument med fel tidsstämpel är värre än ett som saknas, eftersom det får inaktuella data att se aktuella ut.

Larma på skillnaden, inte på färgen

Poängen med två signaler är kombinationerna. Tunnel nere bör larma nätverksägaren; tunnel uppe med en probe som fallerar applikationsägaren; ett saknat probresultat den som äger övervakningsagenten. Att slå ihop alla tre i en röd panel garanterar att larmet tystas inom en månad. Larma på ihållande fel med ett uthållighetsfönster i stället för på ett enda prov, och lägg till en separat kontroll för själva intagspipelinens hälsa.

En instrumentpanel full av gårdagens lyckade prover bör inte läsas som en frisk väg i dag.

Nedskrivet är kontraktet litet: tunnelmetriken säger att gatewayen förhandlade, proben säger att vägen fungerar där användarna sitter, och pipelinehälsan säger om något av svaren är aktuellt. Allt annat i instrumentpanelen är kommentar.