Nhật ký Azure Point-to-Site VPN ở đâu? Hãy xem trong Monitor

Người dùng không thể kết nối với gateway Point-to-Site, bạn mở bảng điều khiển gateway, và không có lịch sử kết nối ở bất kỳ đâu trên trang. Cấu hình, chứng chỉ, trạng thái: tất cả đều có, không có bản ghi. Nhật ký tồn tại, nhưng các trang mạng hoàn toàn không tạo ra chúng. Chúng đến từ một cài đặt chẩn đoán gắn với tài nguyên gateway, và cài đặt đó sống dưới Monitor; vì vậy lần tìm kiếm đầu tiên ở nơi hiển nhiên không trả về gì, và mọi người kết luận rằng dịch vụ không lưu giữ dấu vết kiểm toán nào.

Vì sao tìm kiếm hiển nhiên thất bại

Các hướng dẫn cũ nói rằng Azure Point-to-Site VPN không có kiểm toán, và điều đó đúng khi dịch vụ không công bố bản ghi cho từng kết nối. Các gateway hiện tại công bố bản ghi chẩn đoán đường hầm, nên câu hỏi hữu ích đã thay đổi: không phải có nhật ký hay không, mà tài nguyên nào phát ra chúng và bạn đã bật danh mục nào. Bảng điều khiển gateway là một bề mặt cấu hình, và các bề mặt cấu hình hiếm khi đồng thời là trình xem nhật ký. Cài đặt chẩn đoán là một đối tượng cho mỗi tài nguyên, nên tài nguyên bạn chọn quyết định mọi thứ tiếp theo.

Nửa còn lại của sự nhầm lẫn là xác thực. Các kết nối Point-to-Site dựa trên chứng chỉ không tạo ra sự kiện đăng nhập cho từng người dùng như nhà cung cấp danh tính, nên không có bản ghi về một người có tên đang gõ mật khẩu.

Gắn cài đặt chẩn đoán vào tài nguyên gateway

Mở Monitor, sau đó Diagnostic settings, và thêm một cài đặt mới có mục tiêu là chính gateway mạng ảo chứ không phải mạng ảo chứa nó. Chọn danh mục chẩn đoán Point-to-Site, danh mục có tên P2SDiagnosticLog, vì đó là danh mục mang bản ghi kết nối cho từng máy khách; chỉ thêm các danh mục đường hầm, tuyến hoặc IKE cho những lỗi site-to-site mà chúng bao phủ. Sau đó gửi dữ liệu đến một không gian làm việc Log Analytics mà bạn kiểm soát, với thời gian lưu giữ bạn đã chọn có chủ đích. Hầu hết các tìm kiếm thất bại là một cài đặt gắn với tài nguyên sai, không phải một tính năng bị thiếu.

Danh sách danh mục khác nhau tùy theo loại và thế hệ gateway. Nếu danh mục Point-to-Site không có, gateway có thể cũ hơn tính năng này hoặc chạy một SKU không bao giờ phát ra nó, vì vậy hãy kiểm tra các danh mục được hỗ trợ trước khi tìm sự cố quyền. Một gateway không có danh mục Point-to-Site không hỏng; nó chỉ đơn giản không thể là nguồn của bản ghi đó, và thay thế gần nhất là danh mục đường hầm hoặc IKE, danh mục này ghi lại địa chỉ máy khách dù không mô tả phiên Point-to-Site. Xác nhận danh sách danh mục trước khi mở một vụ hỗ trợ về nhật ký bị thiếu.

Đọc bản ghi trong bảng mà chế độ của bạn sử dụng

Ở chế độ thu thập cũ, các mục đi vào bảng AzureDiagnostics và danh mục xuất hiện dưới dạng giá trị cột; với các bảng dành riêng cho tài nguyên, gateway có bảng riêng của nó. Dù thế nào, hãy truy vấn theo tài nguyên gateway và một cửa sổ thời gian quanh lần thử thất bại, rồi đọc mối tương quan thay vì từng hàng riêng lẻ:

AzureDiagnostics
| where ResourceType == "VIRTUALNETWORKGATEWAYS"
| where _ResourceId has "gateway-name"
| where TimeGenerated > ago(2h)
| project TimeGenerated, Category, OperationName, ResultType, ResultDescription
| order by TimeGenerated desc

Tập cột tuân theo chế độ thu thập của bạn, nên hãy coi truy vấn là một hình dạng chứ không phải một script. Điều bạn đang tìm là một địa chỉ máy khách xuất hiện rồi biến mất, với kiểu kết quả không phải thành công.

Ghép bản ghi gateway với góc nhìn của chính máy khách

Nhật ký gateway mô tả đường hầm, không phải vì sao một laptop không dựng được đường hầm. Thu thập phía máy khách tại cùng dấu thời gian: nhật ký sự kiện Windows cho máy khách RAS, nhật ký kết nối macOS, hoặc văn bản lỗi mà ứng dụng máy khách đã hiển thị. Một bản ghi gateway không có lần thử máy khách tương ứng chỉ ra máy khách; khi máy khách báo thành công mà gateway không ghi lại gì, điều đó thường có nghĩa là hồ sơ đang nhắm tới một gateway khác.

Giữ cả hai nửa trong cùng một phiếu. Chỉ nhật ký gateway mời gọi kết luận sai, và chỉ nhật ký máy khách không thể cho thấy gói tin có bao giờ đến hay không.

Nếu không có gì xuất hiện ở cả hai nơi, hãy kiểm tra đồng hồ trên máy khách trước khi nghi ngờ nền tảng. Dấu thời gian lệch khiến mối tương quan thất bại theo cách trông giống hệt dữ liệu bị thiếu.

Lưu giữ, phạm vi và mục trong runbook

Bản ghi đường hầm mang địa chỉ máy khách và dấu thời gian kết nối, nên hãy coi chúng là dữ liệu cá nhân có lịch xóa thay vì để mặc định của nền tảng. Cũng kiểm tra rằng không gian làm việc không thu nạp mọi danh mục từ mọi tài nguyên trong đăng ký, vì một không gian làm việc ồn ào khiến việc tương quan chậm hơn đọc trực tiếp nhật ký máy khách.

Cuối cùng, ghi tên cài đặt, không gian làm việc và các danh mục đã chọn vào runbook của gateway. Người tiếp theo gỡ lỗi máy khách sẽ nhìn vào bảng điều khiển gateway trước, không tìm thấy gì, và kết luận rằng nhật ký không tồn tại.