Pagmamanman ng Azure Site VPN: ipares ang estado ng tunnel sa isang tunay na probe

Berdeng lahat ang dashboard, labing-isang araw nang nakaupo ang tunnel, at hindi ma-load ng sangay ang panloob na aplikasyon. Ito ang sintomas na dahilan ng disenyong ito, at hindi ito bug sa pagmamanman. Sinasagot ng estado ng tunnel ang tanong tungkol sa negosasyon, samantalang nagtatanong ang user tungkol sa kahilingang dumadaan sa apat na desisyon sa routing at isang patong ng patakaran. Kailangan mo ang dalawang senyas, hiwalay na pinapanatili, at paraan upang makilala ang mga ito sa hatinggabi.

Magsimula sa nabigong sintomas, hindi sa tunnel

Ang naitatag na security association ay nangangahulugang nagkasundo ang mga peer sa isang panukala at nag-install ng mga key. Hindi ito nangangahulugang sakop ng mga selector ang subnet na kailangan ng user, may return route ang malayong bahagi, o tinatanggap ng firewall ang port pagkatapos ng decryption. Maaari ring mabigo ang trapiko sa bahagi ng sangay ng tunnel, at wala nang makikita ang Azure at mag-uulat ng perpektong kalusugan. Kailangan ang tunnel metric, at hindi kailanman sapat.

Tatlong estado ang dapat makilala: nakababa ang tunnel, nakaupo ang tunnel ngunit nabigo ang serbisyo, at ang pinagmumulan ng pagmamanman mismo ay hindi available.

Ilagay ang probe kung saan naroon ang mga user

Para sa aplikasyon mula sangay patungong Azure, patakbuhin ang sintetikong pagsubok mula sa host sa workload network ng sangay at itutok ito sa pribadong HTTPS entry point na aktwal na pinupuntahan ng mga user. Ang probe na inilunsad mula sa gateway ay gumagamit ng ibang source address at madalas ibang policy path, kaya maaari itong pumasa habang bumabagsak ang bawat user. Sinusuportahan ng Azure Connection Monitor ang TCP, ICMP at HTTP check na may mga test group at threshold, at ang mga on-premises source nito ay may mga kinakailangan sa agent na naiiba sa panig ng Azure. Tingnan ang kasalukuyang sinusuportahang setup sa halip na kopyahin ang retiradong klasikong recipe ng pagmamanman mula sa blog.

Panatilihing makitid at walang kuwenta ang probe: isang destinasyon, isang port, dalas na tumutugma sa kinakailangan sa operasyon, at tahasang tuntunin ng pagpayag para sa pinagmumulan na iyon.

Pumili ng check na tumutugma sa serbisyo

Ang TCP connection sa service port ay nagpapatunay ng abot ng transport sa tunnel at wala itong sinasabi tungkol sa TLS o sa aplikasyon. Ang HTTP check ay nagdaragdag ng inaasahang status at nahuhuli ang listener na tumatanggap ng koneksyon ngunit hindi makapaglingkod, na siyang mas karaniwang pagbaba pagkatapos ng pagbabago ng sertipiko o backend. Wala sa kanila ang awtentikadong transaksyong pangkalakal maliban kung talagang nagpapatunay ng pagkakakilanlan ang pagsubok, kaya huwag itong lagyan ng ganoong label sa dashboard. Piliin ang check na bumabagsak kapag nangyari ang reklamo ng user.

Ang ICMP ang pinakamahina sa tatlo, dahil maraming stack ang nagtatapon nito ayon sa patakaran at kakaunti lang ang pinatutunayan ng nabigong ping.

Dalhin ang dalawang senyas sa Elastic nang hindi kathang-isip

Nagpapalabas ang VPN gateway ng mga platform metric tulad ng egress at ingress bytes ng tunnel at mga counter ng pagbagsak ng packet, at makakapagpadala ito ng diagnostic log sa mga kategoryang kasama ang tunnel at IKE event. Dumarating ang resulta ng Connection Monitor sa pamamagitan ng Azure Monitor bilang metric at sa pamamagitan ng Log Analytics workspace bilang log record. Wala sa mga ito ang kusang lumilitaw sa index ng Elastic. Pumili ng isang sinusuportahang pipeline para sa metric at isa para sa log, karaniwang ang Azure Event Hub input o ang Azure Monitor integration, at i-verify kung ano talaga ang tinatanggap ng naka-install na integration bago ka magtiwala sa index pattern.

Itago ang mga label na nagpapahintulot sa operator na pagsamahin ang dalawang dataset: source endpoint, destinasyon, protocol at port para sa probe, at tunnel identity kasama ang peer address para sa gateway.

I-validate ang pipeline gamit ang isang kontroladong event, pagkatapos hanapin ito sa Elastic at suriin ang timestamp at mga resource label nito. Ang dokumentong may maling timestamp ay mas masama kaysa nawawala, dahil ginagawa nitong mukhang bago ang lumang datos.

Mag-alarma sa pagkakaiba, hindi sa kulay

Ang punto ng dalawang senyas ay ang mga kombinasyon. Dapat i-page ng tunnel down ang may-ari ng network; tunnel up na may nabigong probe ang may-ari ng aplikasyon; nawawalang resulta ng probe ang may-ari ng monitoring agent. Ang pagsasama ng tatlo sa isang pulang panel ay ginagarantiyang ma-mute ang alerto sa loob ng isang buwan. Mag-alarma sa tuloy-tuloy na pagbaba na may persistence window sa halip na isang sample, at magdagdag ng hiwalay na check para sa kalusugan ng ingestion pipeline mismo.

Ang dashboard na puno ng matagumpay na sample kahapon ay hindi dapat basahin bilang malusog na landas ngayon.

Kapag isinulat, maliit ang kontrata: sinasabi ng tunnel metric na nakipagnegosasyon ang gateway, sinasabi ng probe na gumagana ang landas mula sa kinauupuan ng mga user, at sinasabi ng kalusugan ng pipeline kung ang alinman sa mga sagot ay kasalukuyan. Ang lahat ng iba pa sa dashboard ay komentaryo.