Microsoft Tunnel を監視する

Microsoft Tunnel のインストール後、Microsoft Intune 管理センターでサーバー構成とサーバーの正常性を表示できます。

admin center の UI を使用する

管理センター Microsoft Intuneサインインし、[テナント管理>Microsoft Tunnel Gateway>正常性状態] に移動します。

次に、サーバーを選択し、[正常性チェック] タブを開いて、そのサーバーの正常性状態メトリックを表示します。 既定では、各メトリックでは状態を決定する事前定義済みのしきい値が使用されます。 次のメトリックでは、このようなしきい値のカスタマイズがサポートされています。

  • CPU 使用率
  • メモリ使用量
  • ディスク領域の使用量
  • 遅延

サーバーの正常性メトリックの既定値は次のとおりです。

  • 最後のチェックイン - Tunnel ゲートウェイ サーバーが Intune で最後にチェックインされた日時。

    • 正常 – 最後チェックインが 5 分以内でした。
    • 異常 – 最後のチェックは 5 分以上前に行われました。

  • 現在の接続 - 前回のサーバー チェックイン時にアクティブだった一意の接続の数。

    • 正常 - 4,990 以下の接続がありました
    • 異常 – 4,990 を超えるアクティブな接続がありました

  • スループット – 最後のサーバー チェックイン時に Tunnel ゲートウェイ NIC を通過していたトラフィックの 1 秒あたりのメガビット数。

  • CPU 使用率 - Tunnel ゲートウェイ サーバーによる 5 分ごとの平均 CPU 使用率。

    • 正常 - 95% 以下
    • 警告 - 96% から 99%
    • 異常 - 100% 使用

  • CPU コア – このサーバーで使用可能な CPU コアの数。

    • 正常 - 4 コア以上
    • 警告 - 1、2、または 3 コア
    • 異常 -0 コア

  • メモリ使用量 - Tunnel ゲートウェイ サーバーによる 5 分ごとの平均メモリ使用量。

    • 正常 - 95% 以下
    • 警告 - 96% から 99%
    • 異常 - 100% 使用

  • ディスク領域の使用量 – Tunnel ゲートウェイ サーバーが使用するディスク領域の容量。

    • 正常 - 5 GB 以上
    • 警告 - 3 から 5 GB
    • 異常 - 3 GB 未満

  • 待機時間 – IP パケットが到着してからネットワーク インターフェイスを出るのにかかる平均時間。

    • 正常 - 10 ミリ秒未満
    • 警告 - 10 ミリ秒から 20 ミリ秒
    • 異常 - 20 ミリ秒を超えています

  • 管理エージェント証明書 – 管理エージェント証明書は、Tunnel Gateway が Intune で認証するために使用されるため、有効期限が切れる前に更新することが重要です。 ただし、自動的に更新されます。

    • 正常 - 証明書の有効期限が 30 日以上残っています。
    • 警告 - 証明書の有効期限は 30 日以内です。
    • 異常 - 証明書の有効期限が切れています。

  • TLS 証明書 - クライアントとトンネル ゲートウェイ サーバー間のトラフィックを保護するトランスポート層セキュリティ (TLS) 証明書の有効期限が切れるまでの日数。

    • 正常 - 30 日を超えています
    • 警告 - 30 日以下
    • 異常 - 証明書の有効期限が切れています

  • TLS 証明書の失効 – トンネル ゲートウェイは、TLS 証明書で定義されているオンライン証明書ステータス プロトコル (OCSP) または証明書失効リスト (CRL) アドレスを使用して、トランスポート層セキュリティ (TLS) 証明書の失効ステータスをチェックしようとします。 このチェックでは、サーバーが証明書で定義されている OCSP エンドポイントまたは CRL アドレスにアクセスできる必要があります。

    • 正常 - TLS 証明書は失効していません。
    • 警告 - TLS 証明書が取り消されているかどうかをチェックできません。 証明書で定義されているエンドポイントに Tunnel サーバーからアクセスできることを確認します。
    • 異常 - TLS 証明書が失効します。

    失効した TLS 証明書の置き換えを計画します。

    オンライン証明書状態プロトコル (OCSP) の詳細については、wikipedia.org の 「オンライン証明書状態プロトコル 」を参照してください。

  • 内部ネットワークのアクセス可能性 – 内部 URL の最新チェックにおける状態。 URL は、Tunnel サイト構成の一部として構成します。

    • 正常 - サーバーからサイトのプロパティで指定された URL にアクセスできます。
    • 異常 - サーバーからサイトのプロパティで指定された URL にアクセスできません。
    • 不明 - この状態は、サイトのプロパティで URL を設定していない場合に表示されます。 この状態は、サイトの全体的な状態には影響しません。

  • アップグレード可能性 – サーバーが Microsoft Container Repository に接続する機能により、バージョンが利用可能になったときに Tunnel Gateway をアップグレードできます。

    • 正常 - サーバーは過去 5 分以内に Microsoft コンテナー リポジトリに接続していません。
    • 異常 - サーバーが 5 分間以上 Microsoft コンテナー リポジトリに接続していません。

  • サーバーのバージョン - 最新のバージョンに関連する、Tunnel ゲートウェイ サーバー ソフトウェアの状態。

    • 正常 - 最新のソフトウェア バージョンでの最新の状態
    • 警告 - 1 つ前のバージョン
    • 異常 - 2 つ以上前のバージョン、およびサポート対象外

    "サーバーのバージョン" が "正常" でない場合は、Microsoft Tunnel のアップグレードのインストールを計画してください。

  • サーバー コンテナー – Microsoft Tunnel サーバーをホストしているコンテナーが実行されているかどうかを確認します。

    • 正常 - サーバー コンテナーの状態は正常です。
    • 異常 - サーバー コンテナーの状態が正常ではありません。

  • サーバー構成 – サーバー構成が Microsoft Intune サイト設定からトンネル サーバーに正常に適用されているかどうかを確認します。

    • 正常 - サーバー構成が正常に適用されました。
    • 異常 - サーバー構成を適用できませんでした。

  • サーバー ログ – 過去 60 分以内にログがサーバーにアップロードされたかどうかを確認します。

    • 正常 - サーバー ログが過去 60 分以内にアップロードされました。
    • 異常 - サーバー ログが過去 60 分間アップロードされていません。

正常性状態のしきい値を管理する

次の Microsoft Tunnel 正常性状態メトリックをカスタマイズして、それぞれが状態を報告するために使用するしきい値を変更できます。 カスタマイズはテナント全体に及び、すべての Tunnel サーバーに適用されます。 カスタマイズできる正常性チェックのメトリックは次のとおりです。

  • CPU 使用率
  • メモリ使用量
  • ディスク領域の使用量
  • 遅延

メトリックのしきい値を変更するには:

正常性状態のしきい値を選択し、構成する方法を示す画面キャプチャ。

  1. 管理センター Microsoft Intuneサインインし、[テナント管理>Microsoft Tunnel ゲートウェイ>正常性状態] に移動します。

  2. [Configure thresholds]\(しきい値の構成\) を選択します。

  3. [構成されたしきい値] ページで、カスタマイズするヘルス チェック カテゴリごとに新しいしきい値を設定します。

    • しきい値は、すべてのサイトのすべてのサーバーに適用されます。
    • "すべての" しきい値を既定値に戻すには、[既定値に戻す] を選択します。

  4. [保存] を選択します。

  5. [正常性状態] ウィンドウで、[更新] を選択し、カスタマイズしたしきい値に基づいてすべてのサーバーの状態を更新します。

しきい値を変更すると、サーバーの [正常性チェック] タブの値は、現在のしきい値に基づいて、その状態を反映するように自動的に更新されます。

サーバーの [正常性チェック] ビューのスクリーン キャプチャ。

Microsoft Tunnel ゲートウェイの正常性状態の傾向正常性メトリックをグラフの形式で表示します。 グラフのデータは 3 時間のブロックの平均であるため、最大 3 時間の遅延が生じます。

正常性状態の傾向グラフは、次のメトリックで使用できます。

  • 接続
  • CPU 使用率
  • ディスク領域の使用量
  • メモリ使用量
  • 平均遅延時間
  • スループット

傾向グラフを表示するには:

  1. Microsoft Intune 管理センターにサインインします。

  2. [テナント管理]>[Microsoft Tunnel Gateway]\(Microsoft Tunnel ゲートウェイ\)>[正常性状態] に移動し、"サーバーを選択" した後、[傾向] を選択します

  3. [メトリック] ドロップダウンを使用して、表示するメトリックのグラフを選択します。

mst-cli コマンド ライン ツールを使用する

mst-cli コマンド ライン ツールを使用して、Microsoft Tunnel サーバーに関する情報を取得します。 このファイルは、Microsoft Tunnel のインストール時に Linux サーバーに追加されます。 このツールは /usr/sbin/mst-cli にあります。

詳細とコマンド ラインの例については、Microsoft Tunnel 用 mst-cli コマンド ライン ツールに関する記事をご覧ください。

Microsoft Tunnel のログを表示する

Microsoft Tunnel では、syslog 形式で Linux サーバー ログへ情報が記録されます。 ログ エントリを表示するには、journalctl -t コマンドの後で、Microsoft Tunnel エントリに固有の 1 つまたは複数のタグを使用します。

  • mstunnel-agent: エージェント ログを表示します。

  • mstunnel_monitor: 監視タスク ログを表示します。

  • ocserv - サーバーログを表示します。

  • ocserv-access - アクセス ログを表示します。

    既定では、アクセス ログは無効になっています。 アクセス ログを有効にすると、サーバー上のアクティブな接続数と使用パターンに応じて、パフォーマンスが低下する可能性があります。 DNS 接続のログ記録はログの詳細度を高め、ノイズが多くなる可能性があります。

    アクセス ログの形式は次のとおりです。<Server timestamp><Server Name><ProcessID on Server><userId><deviceId><protocol><src IP and port><dst IP and port><bytes sent><bytes received><connection time in seconds> 次に例を示します。

    • Feb 25 16:37:56 MSTunnelTest-VM ocserv-access[9528]: ACCESS_LOG,41150dc4-238x-4dwv-9q89-55e987f30c32,f5132455-ef2dd-225a-a693-afbbqed482dce,tcp,169.254.54.149:49462,10.88.0.5:80,112,60,10

    重要

    ocserv-access では、deviceId 値は、デバイスで実行される Microsoft Defender の一意のインストール インスタンスを識別し、Intune デバイス ID または Microsoft Entra デバイス ID のいずれも識別しません。 Defender がアンインストールされてからデバイスに再インストールされると、 DeviceId* の新しいインスタンスが生成されます。

    アクセス ログを有効にするには:

    1. TRACE_SESSIONS=1 in /etc/mstunnel/env.sh を設定します
    2. DNS 接続のログ記録を含めるには、TRACE_SESSIONS =2 を設定します
    3. mst-cli server restart を実行して、サーバーを再起動します。

    アクセス ログでノイズが多すぎる場合は、TRACE_SESSIONS =1 を設定してサーバーを再起動することで、DNS 接続ログをオフにすることができます。

  • OCSERV_TELEMETRY - トンネルへの接続のテレメトリの詳細を表示します。

    テレメトリ ログの形式は次のとおり、 bytes_in、 bytes_out、 期間 の値は切断操作にのみ使用されます。 <operation><client_ip><server_ip><gateway_ip><assigned_ip><user_id><device_id><user_agent><bytes_in><bytes_out><duration> 次に例を示します。

    • Oct 20 19:32:15 mstunnel ocserv[4806]: OCSERV_TELEMETRY,connect,31258,73.20.85.75,172.17.0.3,169.254.0.1,169.254.107.209,3780e1fc-3ac2-4268-a1fd-dd910ca8c13c, 5A683ECC-D909-4E5F-9C67-C0F595A4A70E,MobileAccess iOS 1.1.34040102

    重要

    OCSERV_TELEMETRYでは、deviceId 値は、デバイスで実行されている Microsoft Defender の一意のインストール インスタンスを識別し、Intune デバイス ID またはMicrosoft Entraデバイス ID を識別するものではありません。 Defender がアンインストールされてからデバイスに再インストールされると、 DeviceId* の新しいインスタンスが生成されます。

journalctl のコマンド ラインの例:

  • たとえば、トンネル サーバーのみに関する情報を表示するには、journalctl -t ocserv を実行します。
  • テレメトリ ログを表示するには、 journalctl -t ocserv | grep TELEMETRY
  • すべてのログ オプションの情報を表示するには、journalctl -t ocserv -t ocserv-access -t mstunnel-agent -t mstunnel_monitorを実行します。
  • コマンドに -f を追加すると、ログ ファイルのアクティブで継続的なビューを表示することができます。 たとえば、Microsoft Tunnel の進行中のプロセスをアクティブに監視するには、journalctl -t mstunnel_monitor -f を実行します。

journalctl のその他のオプション。

  • journalctl -h – journalctl のコマンド ヘルプを表示します。
  • man journalctl – 追加情報を表示します。
  • man journalctl.conf 構成に関する情報を表示します。journalctl の詳細については、使用している Linux のバージョンに関するドキュメントを参照してください。

Tunnel サーバーの診断ログの簡単なアップロード

診断支援として、Intune 管理センター内で 1 回クリックするだけで、Intune を有効にし、詳細ログを収集し、トンネル ゲートウェイ サーバーから Microsoft に直接送信できます。 これらの詳細ログは、Microsoft と協力して Tunnel サーバーに関する問題を特定または解決するときに、Microsoft で直接利用できます。

サポート インシデントを開始する前に、または Microsoft と協力してトンネル サーバーの操作を調査している場合は、要求に応じて、イベントから詳細ログを収集してアップロードできます。

この機能を使用するには:

  1. Microsoft Intune管理センターを開き、[テナント管理]>Microsoft Tunnel Gateway に移動し>サーバーを選択してから>ログ タブを選択します。

  2. [ ログ] タブで、[ 詳細サーバー ログの送信 ] セクションを見つけて、[ ログの送信] を選択します。

[Tunnel サーバーの ログの送信 ] を選択すると、次のプロセスが開始されます。

  • まず、Intune はトンネル サーバー ログの現在のセットをキャプチャし、Microsoft に直接アップロードします。 これらのログは、サーバーの現在のログ詳細レベルを使用して収集されます。 既定では、サーバーの詳細レベルはゼロ (0) です。
  • 次に、Intune では、トンネル サーバー ログの詳細レベルを 4 に設定できます。 この詳細レベルの詳細は 8 時間収集されます。
  • 8 時間の詳細ログ収集中に、調査対象の問題または操作を再現して、ログの詳細をキャプチャする必要があります。
  • 8 時間後、Intune は、詳細情報を含むサーバー ログの 2 番目のセットを収集し、Microsoft にアップロードします。 アップロード時には、Intune によって、トンネル サーバー ログもリセットされ、既定の詳細レベルであるゼロ (0) が使用されます。 以前にサーバーの詳細度レベルを上げた場合、Intune が詳細度をゼロにリセットした後、カスタムの詳細度レベルを復元できます。

Intune が収集してアップロードするログの各セットは個別のセットとして識別され、管理センターの [ログの送信] ボタンの下に次の詳細が表示されます。

  • ログ収集の 開始 時刻と 終了 時刻
  • アップロードが生成されたとき
  • ログは詳細レベルを設定します
  • ログ収集 の状態 (完了、失敗、進行中)

[詳細サーバー ログの送信] インターフェイスを示す画面キャプチャ。

詳細ログ収集フェーズで問題を再現した後、Microsoft は収集されたログを使用して調査できます。

ログ収集について

  • Intune は、詳細ログを有効または無効にするためにトンネル サーバーを停止または再起動しません。
  • 8 時間の詳細ログ期間を延長したり、早期に停止したりすることはできません。
  • 詳細ログの問題をキャプチャするために、必要に応じて何度でも ログの送信 プロセスを使用できます。 ただし、ログの詳細性が増すとトンネル サーバーに負荷がかかるため、通常の構成としてはお勧めしません。
  • 詳細ログが終了すると、以前に設定された詳細レベルに関係なく、トンネル サーバー ログにデフォルトの詳細レベルである 0 が設定されます。
  • このプロセスでは、次のログが収集されます。
    • mstunnel-agent (エージェント ログ)
    • mstunnel_monitor (タスク ログの監視)
    • ocserv (サーバー ログ)

ocserv-access ログは収集またはアップロードされません。

既知の問題

Microsoft Tunnel の既知の問題を次に示します。

サーバーの正常性

サーバーの正常性状態がオフラインと表示されている場合、クライアントはトンネルを正常に使用できます

問題: [トンネルの正常性ステータス] タブでは、ユーザーがトンネル サーバーに到達してorganizationのリソースに接続できる場合でも、サーバーの正常性ステータスがオフラインとして報告され、切断されていることを示します。

解決方法: この問題を解決するには、Microsoft Tunnel を再インストールする必要があります。これにより、Tunnel サーバー エージェントが Intune に再登録されます。 この問題を防ぐには、Tunnel エージェントとサーバーの更新プログラムがリリース後すぐにインストールされます。 Microsoft Intune 管理センターのトンネル サーバー正常性メトリックを使用して、サーバーの正常性を監視します。

Podman では、mstunnel_monitorログに「チェックアップ実行中にエラーが発生しました」と表示されます

問題: Podman は、アクティブなコンテナーが実行されていることを特定または確認できず、トンネル サーバーの mstunnel_monitor ログに「チェックアップ実行中にエラーが発生しました」と報告されます。 エラーの例を次に示します。

  • エージェント:

    Error executing Checkup
Error details
\tscript: 561 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-agent
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

  • サーバー:

    Error executing Checkup
Error details
\tscript: 649 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-server
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

解決策: この問題を解決するには、 Podman コンテナーを手動で再起動します。 その後、Podman はコンテナーを識別できるはずです。 問題が解決しない場合、または再発する場合は、 cron を使用して、この問題が発生したときにコンテナーを自動的に再起動するジョブを作成することを検討してください。

Podman では、mstunnel-agent ログに System.DateTime エラーが表示されます

問題: Podman を使用すると、mstunnel-agent ログに次のエントリのようなエラーが含まれる場合があります。

  • Failed to parse version-info.json for version information.
  • System.Text.Json.JsonException: The JSON value could not be converted to System.DateTime

この問題は、Podman と Tunnel Agent のフォーマット日付が異なるために発生します。 これらのエラーは、致命的な問題を示したり、接続を妨げたりするものではありません。 2022 年 10 月以降にリリースされたコンテナー以降は、書式設定の問題を解決する必要があります。

解決策: これらの問題を解決するには、エージェント コンテナ (Podman または Docker) を最新バージョンに更新します。 これらのエラーの新しい原因が見つかった場合は、今後のバージョン更新プログラムで引き続き修正します。

トンネルへの接続

デバイスがトンネル サーバーに接続できない

問題: デバイスはサーバーへの接続に失敗し、トンネル サーバー ocserv ログ ファイルに次のエントリのようなエントリが含まれています。 main: tun.c:655: Can't open /dev/net/tun: Operation not permitted

トンネル ログの表示に関するガイダンスについては、この記事の「Microsoft Tunnel ログの表示」を参照してください。

解決方法: Linux サーバーの再起動後に、mst-cli server restart を使用してサーバーを再起動します。

この問題が解決しない場合は、cron スケジューリング ユーティリティを使用して再起動コマンドを自動化することを検討してください。 opensource.com で「Linux で cron を使用する方法」を参照してください。

関連コンテンツ

Microsoft Tunnel のリファレンス

  • Last updated on