Monitorare Microsoft Tunnel

Dopo l'installazione di Microsoft Tunnel, è possibile visualizzare la configurazione e l'integrità del server nell'interfaccia di amministrazione di Microsoft Intune.

Usare l'interfaccia di amministrazione

Accedi all'interfaccia di amministrazione di Microsoft Intune e vai a Amministrazione> tenantStato di integrità diMicrosoft Tunnel Gateway>.

Quindi, seleziona un server e quindi apri la scheda Controllo integrità per visualizzare le metriche sullo stato di integrità dei server. Per impostazione predefinita, ogni metrica utilizza valori di soglia predefiniti che determinano lo stato. Le metriche seguenti supportano la personalizzazione di queste soglie:

  • Utilizzo CPU
  • Utilizzo memoria
  • Utilizzo dello spazio su disco
  • Latenza

Valori predefiniti per le metriche di integrità del server:

  • Ultimo check-in: quando il server Tunnel Gateway è stato archiviato l'ultima volta con Intune.

    • Sano – L'ultimo check-in è stato effettuato negli ultimi cinque minuti.
    • Malsano – L'ultimo check-in è stato più di cinque minuti fa.

  • Connessioni correnti : il numero di connessioni univoche attive nell'ultimo check-in del server.

    • Sano : c'erano 4.990 connessioni o meno
    • Non integro : le connessioni attive erano più di 4.990

  • Velocità effettiva : megabit bit al secondo di traffico che passano attraverso la scheda di interfaccia di rete del gateway del tunnel nell'ultima archiviazione del server.

  • Utilizzo CPU : utilizzo medio della CPU da parte del server Tunnel Gateway ogni cinque minuti.

    • Sano - 95% o meno
    • Attenzione : dal 96% al 99%
    • Non sano - Utilizzo al 100%

  • Core CPU : il numero di core CPU disponibili nel server.

    • Integro - 4 o più core
    • Avviso - 1, 2 o 3 core
    • Non integro -0 core

  • Utilizzo memoria : utilizzo medio della memoria da parte del server Tunnel Gateway ogni 5 minuti.

    • Sano - 95% o meno
    • Attenzione : dal 96% al 99%
    • Non sano - Utilizzo al 100%

  • Utilizzo spazio su disco : la quantità di spazio su disco utilizzata dal server Tunnel Gateway.

    • Integro - superiore a 5 GB
    • Avviso - 3-5 GB
    • Non integro - inferiore a 3 GB

  • Latenza : la quantità media di tempo impiegata dai pacchetti IP per arrivare e quindi uscire dall'interfaccia di rete.

    • Sano - Meno di 10 millisecondi
    • Avviso : da 10 millisecondi a 20 millisecondi
    • Non sano : più di 20 millisecondi

  • Certificato dell'agente di gestione: il certificato dell'agente di gestione viene usato da Tunnel Gateway per eseguire l'autenticazione con Intune, quindi è importante rinnovarlo prima della scadenza. Tuttavia, dovrebbe rinnovarsi automaticamente.

    • Integrale : mancano più di 30 giorni alla scadenza del certificato.
    • Avviso - Mancano meno di 30 giorni alla scadenza del certificato.
    • Non sano : il certificato è scaduto.

  • Certificato TLS : il numero di giorni prima della scadenza del certificato TLS (Transport Layer Security) che protegge il traffico tra i client e il server Tunnel Gateway.

    • Sano - Più di 30 giorni
    • Avviso - 30 giorni o meno
    • Non sano : il certificato è scaduto

  • Revoca del certificato TLS : il gateway del tunnel tenta di controllare lo stato di revoca del certificato TLS (Transport Layer Security) utilizzando un indirizzo OCSP (Online Certificate Status Protocol) o CRL (Certificate Revocation List) definito dal certificato TLS. Questo controllo richiede che il server abbia accesso all'endpoint OCSP o all'indirizzo CRL come definito nel certificato.

    • Integro : il certificato TLS non viene revocato.
    • Avviso - Impossibile verificare se il certificato TLS è stato revocato. Verificare che gli endpoint definiti nel certificato siano accessibili dal server Tunnel.
    • Non sano : il certificato TLS viene revocato.

    Pianificare la sostituzione di un certificato TLS revocato.

    Per altre informazioni sul protocollo OCSP (Online Certificate Status Protocol), vedere Protocollo di stato del certificato online all wikipedia.org.

  • Accessibilità della rete interna : stato del controllo più recente dell'URL interno. L'URL viene configurato come parte della configurazione del sito del tunnel.

    • Integro : il server può accedere all'URL specificato nelle proprietà del sito.
    • Non sano : il server non può accedere all'URL specificato nelle proprietà del sito.
    • Sconosciuto : questo stato viene visualizzato quando non è stato impostato un URL nelle proprietà del sito. Questo stato non influisce sullo stato generale del sito.

  • Possibilità di aggiornamento : capacità del server di contattare il repository Microsoft Container, che consente l'aggiornamento di Tunnel Gateway quando le versioni diventano disponibili.

    • Integro : il server non ha contattato il repository Microsoft Container negli ultimi 5 minuti.
    • Non sano : il server non ha contattato il repository contenitore Microsoft per più di 5 minuti.

  • Versione server - Lo stato del software del Tunnel Gateway Server, in relazione alla versione più recente.

    • Integro - Aggiornato con la versione software più recente
    • Attenzione - Una versione indietro
    • Non integro : due o più versioni indietro e fuori supporto

    Quando la versione del server non è integra, pianificare l'installazione degli aggiornamenti per Microsoft Tunnel.

  • Contenitore server : determina se il contenitore che ospita il server Microsoft Tunnel è in esecuzione.

    • Integro : lo stato del contenitore server è integro.
    • Non sano : lo stato del contenitore del server non è integro.

  • Configurazione server: determina se la configurazione del server è stata applicata correttamente al server Tunnel dalle impostazioni del sito di Microsoft Intune.

    • Integra: la configurazione del server è stata applicata correttamente.
    • Non sano : non è stato possibile applicare la configurazione del server.

  • Registri del server : determina se i registri sono stati caricati sul server negli ultimi 60 minuti.

    • Integro : i log del server sono stati caricati negli ultimi 60 minuti.
    • Non integro : i log del server non sono stati caricati negli ultimi 60 minuti.

Gestire le soglie dello stato di integrità

È possibile personalizzare le metriche seguenti dello stato di integrità di Microsoft Tunnel per modificare le soglie usate da ognuna per segnalare il proprio stato. Le personalizzazioni sono a livello di tenant e si applicano a tutti i server di tunnel. Le metriche del controllo dello stato che è possibile personalizzare includono:

  • Utilizzo CPU
  • Utilizzo memoria
  • Utilizzo dello spazio su disco
  • Latenza

Per modificare un valore soglia delle metriche:

Schermata che illustra come selezionare e configurare le soglie dello stato di integrità.

  1. Accedi all'interfaccia di amministrazione di Microsoft Intune e vai a Amministrazione> tenantStato di integrità diMicrosoft Tunnel Gateway>.

  2. Selezionare Configura soglie.

  3. Nella pagina Soglie configurate impostare nuove soglie per ogni categoria di controllo integrità che si desidera personalizzare.

    • I valori soglia si applicano a tutti i server in tutti i siti.
    • Selezionare Ripristina valori predefiniti per ripristinare tutte le soglie ai valori predefiniti.

  4. Seleziona Salva.

  5. Nel riquadro Stato integrità selezionare Aggiorna per aggiornare lo stato di tutti i server in base ai valori soglia personalizzati.

Dopo aver modificato le soglie, i valori nella scheda Controllo integrità server vengono aggiornati automaticamente per riflettere il relativo stato, in base alle soglie correnti.

Acquisizione dello schermo di un server Visualizzazione controllo integro.

Visualizzare le tendenze dello stato di integrità Metriche di integrità di Microsoft Tunnel Gateway sotto forma di grafico. La media dei dati dei grafici viene calcolata su un blocco di tre ore e, di conseguenza, può subire un ritardo fino a tre ore.

I grafici dell'andamento dello stato di salute sono disponibili per le metriche seguenti:

  • Connections
  • Utilizzo CPU
  • Utilizzo dello spazio su disco
  • Utilizzo memoria
  • Latenza media
  • Velocità effettiva

Per visualizzare i grafici di tendenza:

  1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

  2. Passa a Amministrazione> tenantMicrosoft Tunnel Gateway> Stato >di integritàSeleziona un server e quindi seleziona Tendenze

  3. Utilizzare l'elenco a discesa Metrica per selezionare il grafico delle metriche che si desidera visualizzare.

Usare lo strumento da riga di comando mst-cli

Utilizzare lo strumento da riga di comando mst-cli per ottenere informazioni sul server Microsoft Tunnel. Questo file viene aggiunto al server Linux durante l'installazione di Microsoft Tunnel. Lo strumento si trova in: /usr/sbin/mst-cli.

Per altre informazioni ed esempi di riga di comando, vedere Strumento da riga di comando mst-cli per Microsoft Tunnel.

Visualizzare i log di Microsoft Tunnel

Microsoft Tunnel registra le informazioni nei registri del server Linux nel formato syslog. Per visualizzare le voci del log, usare il comando journalctl -t seguito da uno o più tag specifici per le voci di Microsoft Tunnel:

  • mstunnel-agent: visualizza i log dell'agente.

  • mstunnel_monitor: visualizza i registri delle attività di monitoraggio.

  • ocserv : visualizza i log del server.

  • ocserv-access - Visualizza i log di accesso.

    Per impostazione predefinita, la registrazione degli accessi è disabilitata. L'abilitazione dei log di accesso può ridurre le prestazioni, a seconda del numero di connessioni attive e dei modelli di utilizzo nel server. La registrazione per le connessioni DNS aumenta il livello di dettaglio dei log, che può diventare fastidioso.

    I log di accesso hanno il formato seguente: <Server timestamp><Server Name><ProcessID on Server><userId><deviceId><protocol><src IP and port><dst IP and port><bytes sent><bytes received><connection time in seconds> Ad esempio:

    • Feb 25 16:37:56 MSTunnelTest-VM ocserv-access[9528]: ACCESS_LOG,41150dc4-238x-4dwv-9q89-55e987f30c32,f5132455-ef2dd-225a-a693-afbbqed482dce,tcp,169.254.54.149:49462,10.88.0.5:80,112,60,10

    Importante

    In ocserv-access il valore deviceId identifica l'istanza di installazione univoca di Microsoft Defender in esecuzione su un dispositivo e non identifica l'ID dispositivo Intune o l'ID dispositivo Microsoft Entra. Se Defender viene disinstallato e quindi reinstallato in un dispositivo, viene generata una nuova istanza per DeviceId*.

    Per abilitare la registrazione degli accessi:

    1. set TRACE_SESSIONS=1 in /etc/mstunnel/env.sh
    2. impostare TRACE_SESSIONS=2 per includere la registrazione per le connessioni DNS
    3. Eseguire mst-cli server restart per riavviare il server.

    Se i log di accesso sono troppo rumorosi, è possibile disattivare la registrazione delle connessioni DNS impostando TRACE_SESSIONS=1 e riavviando il server.

  • OCSERV_TELEMETRY - Visualizza i dettagli della telemetria per le connessioni al tunnel.

    I log di telemetria hanno il formato seguente, con i valori per bytes_in, bytes_out e durata usati solo per le operazioni di disconnessione: <operation><client_ip><server_ip><gateway_ip><assigned_ip><user_id><device_id><user_agent><bytes_in><bytes_out><duration> Ad esempio:

    • Oct 20 19:32:15 mstunnel ocserv[4806]: OCSERV_TELEMETRY,connect,31258,73.20.85.75,172.17.0.3,169.254.0.1,169.254.107.209,3780e1fc-3ac2-4268-a1fd-dd910ca8c13c, 5A683ECC-D909-4E5F-9C67-C0F595A4A70E,MobileAccess iOS 1.1.34040102

    Importante

    In OCSERV_TELEMETRY, il valore deviceId identifica l'istanza di installazione univoca di Microsoft Defender in esecuzione in un dispositivo e non identifica l'ID dispositivo Intune o Microsoft Entra ID dispositivo. Se Defender viene disinstallato e quindi reinstallato in un dispositivo, viene generata una nuova istanza per DeviceId*.

Esempi di riga di comando per journalctl:

  • Per visualizzare le informazioni solo per il server tunnel, eseguire journalctl -t ocserv.
  • Per visualizzare il log di telemetria, eseguire journalctl -t ocserv | grep TELEMETRY
  • Per visualizzare le informazioni per tutte le opzioni di registro, puoi eseguire journalctl -t ocserv -t ocserv-access -t mstunnel-agent -t mstunnel_monitor.
  • Aggiungere -f al comando per visualizzare una visualizzazione attiva e continua del file di log. Ad esempio, per monitorare attivamente i processi in corso per Microsoft Tunnel, eseguire journalctl -t mstunnel_monitor -f.

Altre opzioni per journalctl:

  • journalctl -h – Visualizza la guida del comando per journalctl.
  • man journalctl – Visualizzare informazioni aggiuntive.
  • man journalctl.confVisualizza informazioni sulla configurazione Per ulteriori informazioni su journalctl, vedere la documentazione per la versione di Linux in uso.

Facile caricamento dei registri diagnostici per i server Tunnel

Come ausilio diagnostico, è possibile usare un singolo clic all'interno dell'interfaccia di amministrazione di Intune per fare in modo che Intune abiliti, raccolga e invii log dettagliati da un server Tunnel Gateway direttamente a Microsoft. Questi log dettagliati sono quindi disponibili direttamente per Microsoft quando si collabora con Microsoft per identificare o risolvere i problemi con un server tunnel.

È possibile raccogliere e caricare log dettagliati da un evento prima di aprire una richiesta di supporto o, su richiesta, se si sta già collaborando con Microsoft per esaminare un'operazione dei server tunnel.

Per usare questa funzionalità:

  1. Apri l'interfaccia di amministrazione di Microsoft Microsoft Intune, vai a Amministrazione> tenant,Microsoft Tunnel Gateway>, seleziona un server> e quindi seleziona la scheda Log.

  2. Nella scheda Log , individua la sezione Invia log server dettagliato e seleziona Invia log.

Quando si seleziona Invia registri per un server tunnel, viene avviato il seguente processo:

  • Innanzitutto, Intune acquisisce il set corrente di log del server Tunnel e li carica direttamente in Microsoft. Questi log vengono raccolti utilizzando il livello di dettaglio del log corrente del server. Per impostazione predefinita, il livello di dettaglio del server è zero (0).
  • Successivamente, Intune abilita un livello di dettaglio pari a quattro (4) per i registri del server tunnel. Questo livello di dettaglio viene raccolto per otto ore.
  • Durante le otto ore di raccolta dettagliata dei log, il problema o l'operazione oggetto di analisi devono essere riprodotti per acquisire i dettagli dettagliati nei log.
  • Dopo otto ore, Intune raccoglie un secondo set di log del server che includono dettagli dettagliati e li carica su Microsoft. Al momento del caricamento, Intune reimposta anche i registri del server Tunnel in modo che usino il livello di dettaglio predefinito pari a zero (0). Se in precedenza è stato elevato il livello di dettaglio del server, dopo che Intune ha reimpostato il livello di dettaglio su zero, è possibile ripristinare il livello di dettaglio personalizzato.

Ogni set di log che Intune raccoglie e carica è identificato come set separato con i seguenti dettagli visualizzati nell'interfaccia di amministrazione sotto il pulsante Invia log:

  • Ora di inizio e di fine della raccolta di log
  • Quando è stato generato il caricamento
  • Il log imposta il livello di dettaglio
  • Stato della raccolta di log (completata, non riuscita o in corso)

Screenshot che mostra l'interfaccia dei log del server Invia dettagliata.

Dopo aver riprodotto un problema durante la fase dettagliata di raccolta dei log, Microsoft può usare i log raccolti per analizzarlo.

Informazioni sulla raccolta di log

  • Intune non arresta o riavvia il server Tunnel per abilitare o disabilitare la registrazione dettagliata.
  • Il periodo di registrazione dettagliato di otto ore non può essere esteso o interrotto in anticipo.
  • È possibile utilizzare il processo Invia log tutte le volte che è necessario per acquisire un problema con la registrazione dettagliata. Tuttavia, un maggiore livello di dettaglio del registro aggiunge tensione al server Tunnel e non è consigliato come configurazione regolare.
  • Al termine della registrazione dettagliata, viene impostato il livello di dettaglio predefinito pari a zero per i registri del server Tunnel, indipendentemente dai livelli di dettaglio impostati in precedenza.
  • Tramite questo processo vengono raccolti i log seguenti:
    • mstunnel-agent (log dell'agente)
    • mstunnel_monitor (monitoraggio dei registri attività)
    • ocserv (log del server)

I log ocserv-access non vengono raccolti o caricati.

Problemi noti

Di seguito sono riportati i problemi noti relativi a Microsoft Tunnel.

Integrità server

I client possono utilizzare correttamente il tunnel quando lo stato di integrità del server viene visualizzato come offline

Problema: nella scheda Stato integrità tunnel, lo stato di integrità di un server viene segnalato come offline, indicando che è disconnesso, anche se gli utenti possono raggiungere il server tunnel e connettersi alle risorse dell'organizzazione.

Soluzione: per risolvere il problema, è necessario reinstallare Microsoft Tunnel, che registra nuovamente l'agente del server Tunnel con Intune. Per evitare questo problema, installare gli aggiornamenti per l'agente e il server Tunnel subito dopo il rilascio. Utilizzare le metriche di integrità del server Tunnel nell'interfaccia di amministrazione di Microsoft Intune per monitorare l'integrità del server.

Con Podman, vedi "Errore durante l'esecuzione del controllo" nel registro mstunnel_monitor

Problema: Podman non riesce a identificare o vedere i contenitori attivi in esecuzione e segnala "Errore durante l'esecuzione del controllo" nel registro mstunnel_monitor del server Tunnel. Di seguito sono riportati alcuni esempi di errori:

  • Agente:

    Error executing Checkup
Error details
\tscript: 561 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-agent
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

  • Server:

    Error executing Checkup
Error details
\tscript: 649 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-server
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

Soluzione: Per risolvere questo problema, riavviare manualmente i contenitori Podman. Podman dovrebbe quindi essere in grado di identificare i contenitori. Se il problema persiste o si ripresenta, è consigliabile usare cron per creare un processo che riavvii automaticamente i contenitori quando si verifica questo problema.

Con Podman, si vedono errori System.DateTime nel log mstunnel-agent

Problema: quando si utilizza Podman, il log mstunnel-agent potrebbe contenere errori simili alle voci seguenti:

  • Failed to parse version-info.json for version information.
  • System.Text.Json.JsonException: The JSON value could not be converted to System.DateTime

Questo problema si verifica a causa di differenze nella formattazione delle date tra Podman e Tunnel Agent. Questi errori non indicano un problema irreversibile né impediscono la connettività. A partire dai contenitori rilasciati dopo ottobre 2022, i problemi di formattazione dovrebbero essere risolti.

Soluzione: per risolvere questi problemi, aggiornare il contenitore dell'agente (Podman o Docker) alla versione più recente. Man mano che vengono scoperte nuove fonti di questi errori, continueremo a correggerli negli aggiornamenti della versione successivi.

Connettività al tunnel

I dispositivi non riescono a connettersi al server Tunnel

Problema: I dispositivi non riescono a connettersi al server e il file di registro ocserv del server Tunnel contiene una voce simile alla seguente: main: tun.c:655: Can't open /dev/net/tun: Operation not permitted

Per indicazioni sulla visualizzazione dei registri di Tunnel, vedere Visualizzare i registri di Microsoft Tunnel in questo articolo.

Soluzione: riavviare il server dopo mst-cli server restart il riavvio del server Linux.

Se il problema persiste, prendi in considerazione l'automazione del comando di riavvio utilizzando l'utilità di pianificazione cron. Per informazioni su come usare cron su Linux, vedere opensource.com.

Contenuto correlato

Informazioni di riferimento per Microsoft Tunnel

  • Last updated on