Giám sát VPN Azure Site: ghép trạng thái đường hầm với phép thử thật

Mọi bảng điều khiển đều xanh, đường hầm đã hoạt động mười một ngày, nhưng chi nhánh không tải được ứng dụng nội bộ. Đó chính là triệu chứng mà thiết kế này tồn tại, và đây không phải lỗi giám sát. Trạng thái đường hầm trả lời câu hỏi về việc thương lượng, trong khi người dùng hỏi về một yêu cầu đi qua bốn quyết định định tuyến và một lớp chính sách. Bạn cần cả hai tín hiệu, được giữ riêng, và cách phân biệt chúng vào lúc nửa đêm.

Hãy bắt đầu từ triệu chứng thất bại, không phải từ đường hầm

Một liên kết bảo mật đã thiết lập nghĩa là hai bên đã đồng ý một đề xuất và cài đặt khóa. Điều đó không có nghĩa là các bộ chọn bao phủ mạng con mà người dùng cần, rằng phía xa có tuyến trở về, hay tường lửa chấp nhận cổng sau khi giải mã. Lưu lượng cũng có thể thất bại ở phía chi nhánh của đường hầm, khi đó Azure không thấy gì và báo cáo trạng thái hoàn hảo. Số đo đường hầm là cần thiết và không bao giờ đủ.

Phải phân biệt ba trạng thái: đường hầm xuống, đường hầm lên nhưng dịch vụ hỏng, và bản thân nguồn giám sát không khả dụng.

Đặt phép thử ở nơi người dùng ở

Với ứng dụng từ chi nhánh tới Azure, chạy bài kiểm tra tổng hợp từ một máy chủ trong mạng khối lượng công việc của chi nhánh và hướng nó tới điểm vào HTTPS riêng mà người dùng thực sự truy cập. Một phép thử khởi chạy từ cổng dùng địa chỉ nguồn khác và thường là đường chính sách khác, nên nó có thể đạt trong khi mọi người dùng đều hỏng. Azure Connection Monitor hỗ trợ kiểm tra TCP, ICMP và HTTP với nhóm kiểm thử và ngưỡng, và các nguồn tại chỗ của nó có yêu cầu tác nhân khác với phía Azure. Hãy kiểm tra cấu hình hiện được hỗ trợ thay vì sao chép một công thức giám sát cổ điển đã bị gỡ khỏi blog.

Giữ phép thử hẹp và nhàm chán: một đích, một cổng, tần suất khớp yêu cầu vận hành, và một quy tắc cho phép rõ ràng cho nguồn đó.

Chọn kiểm tra khớp với dịch vụ

Kết nối TCP tới cổng dịch vụ chứng minh khả năng tiếp cận truyền tải qua đường hầm và không nói gì về TLS hay ứng dụng. Kiểm tra HTTP thêm kỳ vọng trạng thái và bắt được trình lắng nghe chấp nhận kết nối nhưng không phục vụ được, đây là lỗi phổ biến hơn sau khi đổi chứng chỉ hoặc backend. Không cái nào là giao dịch kinh doanh có xác thực trừ khi bài kiểm tra thực sự xác thực, nên đừng dán nhãn như vậy trên bảng điều khiển. Chọn kiểm tra thất bại khi khiếu nại của người dùng xảy ra.

ICMP là lựa chọn yếu nhất trong ba, vì nhiều ngăn xếp bỏ nó theo chính sách và một ping thất bại chứng minh rất ít.

Đưa cả hai tín hiệu vào Elastic mà không bịa ra

Cổng VPN phát ra các số đo nền tảng như byte ra và vào của đường hầm cùng bộ đếm mất gói, và có thể gửi nhật ký chẩn đoán theo các hạng mục bao gồm sự kiện đường hầm và IKE. Kết quả Connection Monitor đến qua Azure Monitor dưới dạng số đo và qua không gian làm việc Log Analytics dưới dạng bản ghi. Không thứ nào trong số đó tự xuất hiện trong chỉ mục Elastic. Chọn một đường ống được hỗ trợ cho số đo và một cho nhật ký, thường là đầu vào Azure Event Hub hoặc tích hợp Azure Monitor, và xác minh tích hợp đã cài thực sự nhận gì trước khi tin vào mẫu chỉ mục.

Giữ các nhãn cho phép người vận hành nối hai bộ dữ liệu: điểm cuối nguồn, đích, giao thức và cổng cho phép thử, cùng danh tính đường hầm và địa chỉ đối tác cho cổng.

Kiểm chứng đường ống bằng một sự kiện có kiểm soát, rồi tìm nó trong Elastic và kiểm tra nhãn thời gian cùng các nhãn tài nguyên. Một tài liệu có nhãn thời gian sai còn tệ hơn tài liệu thiếu, vì nó làm dữ liệu cũ trông như hiện tại.

Cảnh báo theo khác biệt, không theo màu

Ý nghĩa của hai tín hiệu nằm ở các tổ hợp. Đường hầm xuống nên gọi chủ mạng; đường hầm lên với phép thử hỏng gọi chủ ứng dụng; kết quả phép thử thiếu gọi người sở hữu tác nhân giám sát. Gộp cả ba vào một bảng đỏ duy nhất bảo đảm cảnh báo sẽ bị tắt trong vòng một tháng. Hãy cảnh báo theo hỏng hóc kéo dài với cửa sổ duy trì thay vì một mẫu đơn lẻ, và thêm một kiểm tra riêng cho sức khỏe của chính đường ống thu nhận.

Một bảng điều khiển đầy mẫu thành công của hôm qua không nên được đọc như đường đi khỏe mạnh hôm nay.

Viết ra thì hợp đồng nhỏ: số đo đường hầm cho biết cổng đã thương lượng, phép thử cho biết đường đi hoạt động từ nơi người dùng ngồi, và sức khỏe đường ống cho biết câu trả lời nào còn hiện hành. Mọi thứ khác trên bảng điều khiển là bình luận.