Microsoft-tunnel bewaken

Na de installatie van Microsoft Tunnel kunt u de serverconfiguratie en serverstatus bekijken in het Microsoft Intune-beheercentrum.

De gebruikersinterface van het beheercentrum gebruiken

Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Statusvan deMicrosoft-tunnelgateway> voor tenantbeheer>.

Selecteer vervolgens een server en open vervolgens het tabblad Statuscontrole om de metrische statusgegevens van die server te bekijken. Voor elke statistiek worden standaard vooraf gedefinieerde drempelwaarden gebruikt om de status te bepalen. De volgende metrische gegevens ondersteunen het aanpassen van deze drempelwaarden:

  • CPU-gebruik
  • Geheugengebruik
  • Schijfruimtegebruik
  • Latentie

Standaardwaarden voor metrische gegevens over de serverstatus:

  • Laatste check-in: wanneer de Tunnel Gateway-server voor het laatst is ingecheckt met Intune.

    • Gezond – De laatste check-in was binnen de afgelopen vijf minuten.
    • Niet in orde – De laatste check-in was meer dan vijf minuten geleden.

  • Huidige verbindingen : het aantal unieke verbindingen dat actief was bij de laatste check-in van de server.

    • Gezond – Er waren 4.990 of minder verbindingen
    • Niet in orde: er waren meer dan 4990 actieve verbindingen

  • Doorvoer : de megabits bits per seconde van het verkeer dat door de Tunnel Gateway-NIC gaat bij de laatste check-in van de server.

  • CPU-gebruik : het gemiddelde CPU-gebruik door de Tunnel Gateway-server elke vijf minuten.

    • Gezond - 95% of minder
    • Waarschuwing - 96% tot 99%
    • Niet in orde - 100% gebruik

  • CPU-kernen : het aantal CPU-kernen dat beschikbaar is op deze server.

    • Gezond - 4 of meer kernen
    • Waarschuwing - 1, 2 of 3 kernen
    • Niet in orde -0 kernen

  • Geheugengebruik : het gemiddelde geheugengebruik van de Tunnel Gateway-server per 5 minuten.

    • Gezond - 95% of minder
    • Waarschuwing - 96% tot 99%
    • Niet in orde - 100% gebruik

  • Schijfruimtegebruik : de hoeveelheid schijfruimte die door de Tunnel Gateway-server wordt gebruikt.

    • Gezond - Meer dan 5 GB
    • Waarschuwing - 3-5 GB
    • Niet in orde - kleiner dan 3 GB

  • Latentie : de gemiddelde tijd die nodig is om IP-pakketten binnen te laten komen en vervolgens de netwerkinterface te verlaten.

    • Gezond - Minder dan 10 milliseconden
    • Waarschuwing - 10 milliseconden tot 20 milliseconden
    • Niet in orde - Meer dan 20 milliseconden

  • Management Agent-certificaat: het Management Agent-certificaat wordt door Tunnel Gateway gebruikt voor verificatie bij Intune, dus het is belangrijk om het te vernieuwen voordat het verloopt. Het zou echter automatisch moeten worden verlengd.

    • Gezond - Het verlopen van certificaten zal over meer dan 30 dagen plaatsvinden.
    • Waarschuwing - Het verlopen van certificaten duurt over minder dan 30 dagen.
    • Niet in orde: certificaat is verlopen.

  • TLS-certificaat : het aantal dagen tot het verstrijken van het TLS-certificaat (Transport Layer Security) dat verkeer tussen clients en de Tunnel Gateway-server beveiligt.

    • Gezond - Meer dan 30 dagen
    • Waarschuwing - 30 dagen of minder
    • Niet in orde: het certificaat is verlopen

  • Intrekking van TLS-certificaat – De tunnelgateway probeert de intrekkingsstatus van het TLS-certificaat (Transport Layer Security) te controleren met behulp van een OCSP-adres (Online Certificate Status Protocol) of een CRL-adres (Certificate Revocation List), zoals gedefinieerd door het TLS-certificaat. Voor deze controle moet de server toegang hebben tot het OCSP-eindpunt of CRL-adres zoals gedefinieerd in het certificaat.

    • In orde : het TLS-certificaat is niet ingetrokken.
    • Waarschuwing - Kan niet controleren of het TLS-certificaat is ingetrokken. Zorg ervoor dat de eindpunten die in het certificaat zijn gedefinieerd, toegankelijk zijn vanaf de tunnelserver.
    • Niet in orde: het TLS-certificaat is ingetrokken.

    Plan om een ingetrokken TLS-certificaat te vervangen.

    Zie Online Certificate Status Protocol op wikipedia.org voor meer informatie over Online Certificate Status Protocol (OCSP).

  • Interne netwerktoegankelijkheid : status van de meest recente controle van de interne URL. U configureert de URL als onderdeel van de configuratie van een tunnelsite.

    • In orde: de server heeft toegang tot de URL die is opgegeven in de site-eigenschappen.
    • Niet in orde : de server heeft geen toegang tot de URL die is opgegeven in de site-eigenschappen.
    • Onbekend : deze status wordt weergegeven wanneer u geen URL hebt ingesteld in de site-eigenschappen. Deze status is niet van invloed op de algemene status van de site.

  • Upgradebaarheid : de mogelijkheid van de server om contact op te nemen met de Microsoft-opslagplaats, waardoor Tunnel Gateway een upgrade kan uitvoeren wanneer er versies beschikbaar komen.

    • In orde : de server heeft de afgelopen 5 minuten geen contact opgenomen met de Microsoft-opslagplaats.
    • Niet in orde : de server heeft al meer dan 5 minuten geen contact meer gemaakt met de Microsoft-opslagplaats.

  • Serverversie : de status van de Tunnel Gateway Server-software ten opzichte van de meest recente versie.

    • Gezond - Up-to-date met de meest recente softwareversie
    • Waarschuwing - Eén versie achter
    • Niet in orde : twee of meer versies lopen achter en worden niet ondersteund

    Als de serverversie niet goed is, plant u de installatie van upgrades voor Microsoft Tunnel.

  • Servercontainer : geeft aan of de container die als host fungeert voor de Microsoft-tunnelserver actief is.

    • In orde : de status van de servercontainer is in orde.
    • Niet in orde : de status van de servercontainer is niet in orde.

  • Serverconfiguratie: hiermee wordt bepaald of de serverconfiguratie is toegepast op de tunnelserver vanuit de site-instellingen van Microsoft Intune.

    • In orde: de serverconfiguratie is toegepast.
    • Niet in orde : serverconfiguratie kan niet worden toegepast.

  • Serverlogboeken : geeft aan of de logboeken in de afgelopen 60 minuten naar de server zijn geüpload.

    • In orde: serverlogboeken zijn in de afgelopen 60 minuten geüpload.
    • Niet in orde : serverlogboeken zijn in de afgelopen 60 minuten niet geüpload.

Drempelwaarden voor de gezondheidsstatus beheren

U kunt de volgende metrische gegevens voor de Microsoft-tunnelstatus aanpassen om de drempelwaarden te wijzigen die door elk meetwaarde worden gebruikt om hun status te rapporteren. Aanpassingen gelden voor de gehele tenant en zijn van toepassing op alle tunnelservers. U kunt de volgende statuscontrole aanpassen:

  • CPU-gebruik
  • Geheugengebruik
  • Schijfruimtegebruik
  • Latentie

Een metrische drempelwaarde wijzigen:

Schermafbeelding van het selecteren en configureren van statusdrempelwaarden.

  1. Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Status van tenantbeheer>van Microsoft Tunnel Gateway-status>.

  2. Selecteer Drempelwaarden configureren.

  3. Stel op de pagina Geconfigureerde drempelwaarden nieuwe drempelwaarden in voor elke statuscontrolecategorie die u wilt aanpassen.

    • Drempelwaarden zijn van toepassing op alle servers op alle locaties.
    • Selecteer Terugkeren naar standaard om de standaardwaarden van alle drempels terug te zetten.

  4. Klik op Opslaan.

  5. Selecteer in het deelvenster Statusstatus de optie Vernieuwen om de status van alle servers bij te werken op basis van de aangepaste drempelwaarden.

Wanneer u drempels hebt gewijzigd, worden de waarden op het tabblad Statuscontrole automatisch bijgewerkt op basis van de huidige drempelwaarden.

Schermafbeelding van de weergave van de statuscontrole van een server.

Gezondheidsstatustrends weergeven Microsoft Tunnel Gateway-statusgegevens in de vorm van een grafiek. De gegevens voor de grafieken worden gemiddeld over een blok van drie uur berekend en kunnen daarom maximaal drie uur worden uitgesteld.

De trenddiagrammen voor de gezondheidsstatus zijn beschikbaar voor de volgende statistieken:

  • Aansluitingen
  • CPU-gebruik
  • Schijfruimtegebruik
  • Geheugengebruik
  • Gemiddelde latentie
  • Doorvoer

Ga als volgt te werk om trenddiagrammen weer te geven:

  1. Meld je aan bij het Microsoft Intune-beheercentrum.

  2. Ga naar Tenantbeheer>Statusstatus>van Microsoft-tunnelgateway>Selecteer een server en selecteer vervolgens Trends

  3. Gebruik de vervolgkeuzelijst Statistiek om het metrische diagram te selecteren dat u wilt bekijken.

Het opdrachtregelprogramma mst-cli gebruiken

Gebruik het opdrachtregelprogramma mst-cli om informatie te krijgen over de Microsoft Tunnel-server. Dit bestand wordt aan de Linux-server toegevoegd tijdens de installatie van de Microsoft-tunnel. Het hulpprogramma bevindt zich op: /usr/sbin/mst-cli.

Zie het opdrachtregelprogramma mst-cli voor Microsoft Tunnel voor meer informatie en voorbeelden van opdrachtregels.

Microsoft Tunnel-logboeken weergeven

Microsoft Tunnel logt informatie naar de Linux-serverlogboeken in de syslog-indeling. Als u logboekvermeldingen wilt weergeven, gebruikt u de opdracht journalctl -t, gevolgd door een of meer labels die specifiek zijn voor Microsoft Tunnel-vermeldingen:

  • mstunnel-agent: Agentlogboeken weergeven.

  • mstunnel_monitor: Controletaaklogboeken weergeven.

  • ocserv - Serverlogboeken weergeven.

  • ocserv-access - Toegangslogboeken weergeven.

    Toegangsregistratie is standaard uitgeschakeld. Het inschakelen van toegangslogboeken kan leiden tot verminderde prestaties, afhankelijk van het aantal actieve verbindingen en gebruikspatronen op de server. Logboekregistratie voor DNS-verbindingen vergroot de uitgebreidheid van de logboeken, waardoor er veel ruis kan ontstaan.

    Toegangslogboeken hebben de volgende indeling: <Server timestamp><Server Name><ProcessID on Server><userId><deviceId><protocol><src IP and port><dst IP and port><bytes sent><bytes received><connection time in seconds> Bijvoorbeeld:

    • 25 februari 16:37:56 MSTunnelTest-VM ocserv-access[9528]: ACCESS_LOG,41150dc4-238x-4dwv-9q89-55e987f30c32,f5132455-ef2dd-225a-a693-afbbqed482dce,tcp,169.254.54.149:49462,10.88.0.5:80,112,60,10

    Belangrijk

    In ocserv-access identificeert de deviceId-waarde het unieke installatie-exemplaar van Microsoft Defender dat op een apparaat wordt uitgevoerd en niet de apparaat-id van Intune of van het Microsoft Entra-apparaat. Als Defender wordt verwijderd en vervolgens opnieuw op een apparaat wordt geïnstalleerd, wordt een nieuw exemplaar voor de apparaat-id* gegenereerd.

    Toegangsregistratie inschakelen:

    1. Stel TRACE_SESSIONS=1 in in /etc/mstunnel/env.sh
    2. stel TRACE_SESSIONS=2 in om logboekregistratie voor DNS-verbindingen op te nemen
    3. Voer mst-cli server restart een opdracht uit om de server opnieuw op te starten.

    Als er te veel ruis is op de toegangslogboeken, kunt u de logboekregistratie voor DNS-verbindingen uitschakelen door TRACE_SESSIONS=1 in te stellen en de server opnieuw op te starten.

  • OCSERV_TELEMETRY - Telemetriegegevens weergeven voor tunnelverbindingen.

    Telemetrielogboeken hebben de volgende indeling, waarbij de waarden voor bytes_in, bytes_out en duur alleen worden gebruikt voor verbreekbewerkingen: <operation><client_ip><server_ip><gateway_ip><assigned_ip><user_id><device_id><user_agent><bytes_in><bytes_out><duration> Bijvoorbeeld:

    • Oct 20 19:32:15 mstunnel ocserv[4806]: OCSERV_TELEMETRY,connect,31258,73.20.85.75,172.17.0.3,169.254.0.1,169.254.107.209,3780e1fc-3ac2-4268-a1fd-dd910ca8c13c, 5A683ECC-D909-4E5F-9C67-C0F595A4A70E,MobileAccess iOS 1.1.34040102

    Belangrijk

    In OCSERV_TELEMETRY identificeert de deviceId-waarde het unieke installatie-exemplaar van Microsoft Defender dat op een apparaat wordt uitgevoerd en niet de apparaat-id van Intune of Microsoft Entra apparaat-id. Als Defender wordt verwijderd en vervolgens opnieuw op een apparaat wordt geïnstalleerd, wordt een nieuw exemplaar voor de apparaat-id* gegenereerd.

Opdrachtregelvoorbeelden voor journalctl:

  • Als u alleen de gegevens voor de tunnelserver wilt weergeven, voert u de volgende opdracht uit journalctl -t ocserv.
  • Als u het telemetrielogboek wilt weergeven, voert u journalctl -t ocserv | grep TELEMETRY
  • Als u informatie over alle logboekopties wilt weergeven, kunt u de volgende opdracht uitvoeren journalctl -t ocserv -t ocserv-access -t mstunnel-agent -t mstunnel_monitor.
  • Voeg toe -f aan de opdracht om een actieve en doorlopende weergave van het logboekbestand weer te geven. Als u bijvoorbeeld actieve processen voor Microsoft Tunnel wilt bewaken, voert u journalctl -t mstunnel_monitor -f.

Meer opties voor journalctl:

  • journalctl -h – Display command help voor journalctl.
  • man journalctl – Aanvullende informatie weergeven.
  • man journalctl.confInformatie over de configuratie weergeven Raadpleeg de documentatie voor de door u gebruikte versie van Linux voor meer informatie over journalctl.

Eenvoudig uploaden van diagnostische logboeken voor tunnelservers

Als diagnostisch hulpmiddel kunt u met één klik in het Intune-beheercentrum instellen dat Intune uitgebreide logboekbestanden van een tunnelgatewayserver rechtstreeks naar Microsoft kan sturen, verzamelen en verzenden. Deze uitgebreide logboeken zijn vervolgens direct beschikbaar voor Microsoft wanneer u met Microsoft samenwerkt om problemen met een tunnelserver op te sporen of op te lossen.

U kunt uitgebreide logboeken van een gebeurtenis verzamelen en uploaden voordat u een ondersteuningsincident opent, of op verzoek als u al met Microsoft samenwerkt om een tunnelserverbewerking te onderzoeken.

Ga als volgt te werk om deze mogelijkheid te gebruiken:

  1. Open het Microsoft Intune-beheercentrum, ga naar Tenantbeheer>,Microsoft Tunnel Gateway>, selecteer een server> en selecteer vervolgens het tabblad Logboeken.

  2. Zoek op het tabblad Logboeken de sectie Uitgebreide serverlogboeken verzenden en selecteer Logboeken verzenden.

Wanneer u Logboeken verzenden voor een tunnelserver selecteert, wordt het volgende proces gestart:

  • Eerst legt Intune de huidige set tunnelserverlogboeken vast en uploadt deze rechtstreeks naar Microsoft. Deze logboeken worden verzameld met behulp van het huidige uitgebreidheidsniveau van het logboek op de server. Standaard is het uitgebreidheidsniveau van de server nul (0).
  • Vervolgens schakelt Intune een uitgebreidheidsniveau van vier (4) in voor de tunnelserverlogboeken. Dit detailniveau wordt gedurende acht uur verzameld.
  • Tijdens de acht uur durende verzameling van uitgebreide logboeken moet het probleem of de bewerking die wordt onderzocht, worden gereproduceerd om de uitgebreide details in de logboeken vast te leggen.
  • Na acht uur verzamelt Intune een tweede set serverlogboeken met de uitgebreide details en uploadt deze naar Microsoft. Op het moment van uploaden stelt Intune ook de tunnelserverlogboeken opnieuw in om het standaard uitgebreidheidsniveau nul (0) te gebruiken. Als u eerder het uitgebreidheidsniveau van de server hebt verhoogd, kunt u uw aangepaste uitgebreidheidsniveau herstellen nadat Intune de uitgebreidheid op nul heeft gezet.

Elke set logboeken die door Intune wordt verzameld en geüpload, wordt geïdentificeerd als een afzonderlijke set met de volgende details die worden weergegeven in het beheercentrum onder de knop Logboeken verzenden:

  • Een begin - en eindtijd van de logboekverzameling
  • Wanneer de upload is gegenereerd
  • Het logboek stelt het uitgebreidheidsniveau in
  • De status van het verzamelen van het logboek (voltooid, mislukt of wordt uitgevoerd)

Schermopname met de interface voor uitgebreide serverlogboeken verzenden.

Nadat u een probleem hebt gereproduceerd tijdens de fase van het verzamelen van uitgebreide logboeken, kan Microsoft de verzamelde logboeken gebruiken om het te onderzoeken.

Logboekverzameling

  • In Intune wordt de tunnelserver niet gestopt of opnieuw opgestart om uitgebreide logboekregistratie in of uit te schakelen.
  • De uitgebreide logboekregistratie van acht uur kan niet worden verlengd of voortijdig worden gestopt.
  • U kunt het proces Logboeken verzenden zo vaak gebruiken als nodig is om een probleem met uitgebreide logboekregistratie vast te leggen. Een grotere uitgebreidheid van het logboek belast de tunnelserver echter en wordt niet aanbevolen als een normale configuratie.
  • Nadat de uitgebreide logboekregistratie is beëindigd, wordt het standaarduitbreidingsniveau nul ingesteld voor tunnelserverlogboeken, ongeacht de eerder ingestelde uitgebreidheidsniveaus.
  • De volgende logboeken worden tijdens dit proces verzameld:
    • mstunnel-agent (Agent logs)
    • mstunnel_monitor (Taaklogboeken controleren)
    • ocserv (Serverlogboeken)

De OCSERV-access logs worden niet verzameld of geüpload.

Bekende problemen

Hieronder volgen bekende problemen voor Microsoft Tunnel.

Serverstatus

Clients kunnen de tunnel zonder problemen gebruiken als de status van de server offline is

Probleem: op het tabblad Tunnelstatus wordt de status van een server als offline aangegeven, wat aangeeft dat de verbinding is verbroken, hoewel gebruikers de tunnelserver kunnen bereiken en verbinding kunnen maken met de resources van de organisatie.

Oplossing: Om dit probleem op te lossen, moet u Microsoft Tunnel opnieuw installeren, waarmee de tunnelserveragent opnieuw wordt ingeschreven bij Intune. U kunt dit probleem voorkomen door updates voor de tunnelagent en server snel na de release te installeren. Met de metrische gegevens voor tunnelserverstatus in het Microsoft Intune-beheercentrum kunt u de serverstatus controleren.

Bij Podman ziet u 'Fout bij het uitvoeren van controle' in het mstunnel_monitor logboek

Probleem: Podman kan de actieve containers niet identificeren of zien en meldt "Fout bij het uitvoeren van controle" in het mstunnel_monitor logboek van de Tunnel-server. Hieronder volgen voorbeelden van de fouten:

  • Agent:

    Error executing Checkup
Error details
\tscript: 561 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-agent
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

  • Server:

    Error executing Checkup
Error details
\tscript: 649 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-server
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

Oplossing: Om dit probleem op te lossen, start u de Podman-containers handmatig opnieuw. Podman zou dan in staat moeten zijn om de containers te identificeren. Als het probleem zich blijft voordoen of terugkeert, kunt u overwegen cron te gebruiken om een taak te maken waarmee de containers automatisch opnieuw worden opgestart wanneer dit probleem zich voordoet.

Met Podman ziet u System.DateTime-fouten in het mstunnel-agent-logboek

Probleem: wanneer u Podman gebruikt, kan het mstunnel-agent-logboek fouten bevatten die vergelijkbaar zijn met de volgende vermeldingen:

  • Failed to parse version-info.json for version information.
  • System.Text.Json.JsonException: The JSON value could not be converted to System.DateTime

Dit probleem treedt op vanwege verschillen in het opmaken van datums tussen Podman en Tunnel Agent. Deze fouten wijzen niet op een dodelijk probleem of verhinderen de connectiviteit. Vanaf containers die na oktober 2022 zijn uitgebracht, zouden de opmaakproblemen opgelost moeten zijn.

Oplossing: u lost deze problemen op door de agentcontainer (Podman of Docker) bij te werken naar de nieuwste versie. Als er nieuwe bronnen van deze fouten worden ontdekt, blijven we deze oplossen in volgende versie-updates.

Verbinding met tunnel

Apparaten kunnen geen verbinding maken met de tunnelserver

Probleem: Apparaten kunnen geen verbinding maken met de server en het logboekbestand van de tunnelserver bevat een vermelding die vergelijkbaar is met de volgende vermelding: main: tun.c:655: Can't open /dev/net/tun: Operation not permitted

Zie Microsoft Tunnellogboeken weergeven in dit artikel voor meer informatie over het weergeven van tunnellogboeken.

Oplossing: Start de server opnieuw op nadat mst-cli server restart de Linux-server opnieuw is opgestart.

Als dit probleem zich blijft voordoen, kunt u overwegen de opdracht voor opnieuw opstarten te automatiseren met behulp van het cron-planningshulpprogramma. Zie op opensource.com hoe u cron op Linux gebruikt.

Verwante onderwerpen

Naslaginformatie voor Microsoft Tunnel

  • Last updated on