Azure Site VPN izleme: tünel durumunu gerçek bir probla eşleştirin

Her pano yeşil, tünel on bir gündür ayakta, ama şube iç uygulamayı yükleyemiyor. Bu tasarımın var olma nedeni tam bu belirti ve bu bir izleme hatası değil. Tünel durumu müzakereyle ilgili bir soruyu yanıtlar; kullanıcı ise dört yönlendirme kararından ve bir ilke katmanından geçen bir isteği soruyor. İki sinyale de ihtiyacınız var, ayrı tutulmuş, ve gece yarısı onları ayırt etmenin bir yoluna.

Tünelden değil, başarısız belirtiden başlayın

Kurulmuş bir güvenlik ilişkisi, tarafların bir teklif üzerinde anlaştığı ve anahtarları yüklediği anlamına gelir. Kullanıcının gereksinim duyduğu alt ağı seçicilerin kapsadığı, uzak tarafın dönüş yolu olduğu ya da güvenlik duvarının şifre çözümünden sonra bağlantı noktasını kabul ettiği anlamına gelmez. Trafik tünelin şube tarafında da başarısız olabilir; o zaman Azure hiçbir şey görmez ve kusursuz sağlık bildirir. Tünel metriği gereklidir ve hiçbir zaman yeterli değildir.

Üç durum ayırt edilebilmelidir: tünel kapalı, tünel açık ama hizmet başarısız ve izleme kaynağının kendisi kullanılamıyor.

Probu kullanıcıların olduğu yere koyun

Şubeden Azure'a bir uygulama için sentetik testi şubenin iş yükü ağındaki bir ana bilgisayardan çalıştırın ve kullanıcıların gerçekten ulaştığı özel HTTPS giriş noktasına yönlendirin. Ağ geçidinden başlatılan bir prob farklı bir kaynak adresi ve çoğu zaman farklı bir ilke yolu kullanır, bu yüzden her kullanıcı başarısız olurken o geçebilir. Azure Connection Monitor test grupları ve eşiklerle TCP, ICMP ve HTTP denetimlerini destekler ve şirket içi kaynaklarının ajan gereksinimleri Azure tarafındakilerden farklıdır. Blogdan kullanımdan kalkmış klasik bir izleme tarifini kopyalamak yerine güncel desteklenen düzeni denetleyin.

Probu dar ve sıkıcı tutun: tek hedef, tek bağlantı noktası, işletme gereksinimine uyan bir sıklık ve o kaynak için açık bir izin kuralı.

Hizmete uyan bir denetim seçin

Hizmet bağlantı noktasına TCP bağlantısı tünel üzerinden taşıma erişilebilirliğini kanıtlar ve TLS ya da uygulama hakkında hiçbir şey söylemez. HTTP denetimi bir durum beklentisi ekler ve bağlantıları kabul eden ama hizmet veremeyen bir dinleyiciyi yakalar; sertifika veya arka uç değişikliğinden sonra daha sık görülen arıza budur. Test gerçekten kimlik doğrulamıyorsa ikisi de kimlik doğrulanmış bir işlem değildir, bu yüzden panoda öyle etiketlemeyin. Kullanıcının şikâyeti ortaya çıktığında başarısız olan denetimi seçin.

ICMP üçü arasında en zayıf seçenektir, çünkü birçok yığın onu ilke gereği düşürür ve başarısız bir ping çok az şey kanıtlar.

İki sinyali uydurmadan Elastic'e getirin

VPN ağ geçidi tünel çıkış ve giriş baytları ile paket düşürme sayaçları gibi platform metrikleri yayar ve tünel ile IKE olaylarını içeren kategorilerde tanılama günlükleri gönderebilir. Connection Monitor sonuçları Azure Monitor üzerinden metrik olarak ve bir Log Analytics çalışma alanı üzerinden günlük kaydı olarak gelir. Bunların hiçbiri kendiliğinden bir Elastic dizininde görünmez. Metrikler için bir desteklenen işlem hattı ve günlükler için bir tane seçin, genellikle Azure Event Hub girişi veya Azure Monitor tümleştirmesi, ve dizin desenine güvenmeden önce kurulu tümleştirmenin gerçekte ne aldığını doğrulayın.

Bir operatörün iki veri kümesini birleştirmesine izin veren etiketleri koruyun: prob için kaynak uç nokta, hedef, protokol ve bağlantı noktası, ağ geçidi için tünel kimliği ve eş adresi.

İşlem hattını tek bir kontrollü olayla doğrulayın, sonra Elastic'te arayın ve zaman damgasını ve kaynak etiketlerini denetleyin. Yanlış zaman damgalı bir belge eksik olandan daha kötüdür, çünkü eski veriyi güncel gösterir.

Renk üzerine değil, fark üzerine alarm kurun

İki sinyal tutmanın anlamı kombinasyonlardadır. Tünel kapalıysa ağ sahibine sayfa gönderin; tünel açık ve prob başarısızsa uygulama sahibine; prob sonucu yoksa izleme ajanının sahibine. Üçünü tek bir kırmızı panelde birleştirmek alarmın bir ay içinde sessize alınmasını garanti eder. Tek bir örnek yerine kalıcılık penceresiyle sürekli arızada alarm verin ve alım işlem hattının kendi sağlığı için ayrı bir denetim ekleyin.

Dünün başarılı örnekleriyle dolu bir pano bugün sağlıklı bir yol olarak okunmamalıdır.

Yazılı hâlde sözleşme küçüktür: tünel metriği ağ geçidinin anlaştığını söyler, prob yolun kullanıcıların oturduğu yerden çalıştığını söyler ve işlem hattı sağlığı iki yanıttan hangisinin güncel olduğunu söyler. Panodaki diğer her şey yorumdur.