Monitora o Microsoft Tunnel

Após a instalação do Microsoft Tunnel, você poderá exibir a configuração e a integridade do servidor no centro de administração do Microsoft Intune.

Usar a interface do usuário do Centro de Administração

Entre no centro de administração do Microsoft Intune e vá para Administração delocatários Status de> integridade doMicrosoft Tunnel Gateway>.

Em seguida, selecione um servidor e abra a guia marcar integridade para exibir as métricas de status de integridade desses servidores. Por padrão, cada métrica usa valores de limite predefinidos que determinam o status. As métricas a seguir dão suporte à personalização desses limites:

  • Uso da CPU
  • Uso da memória
  • Uso de espaço em disco
  • Latência

Valores padrão para as métricas de integridade do servidor:

  • Último check-in: quando o servidor do Gateway do Tunnel fez o último check-in com o Intune.

    • Íntegro – O último check-in foi nos últimos cinco minutos.
    • Não íntegro – O último marcar-in foi há mais de cinco minutos.

  • Conexões atuais – O número de conexões exclusivas que estavam ativas no último check-in do servidor.

    • Íntegro – Havia 4.990 ou menos conexões
    • Não íntegro – Havia mais de 4.990 conexões ativas

  • Taxa de transferência – Os megabits por segundo de tráfego passando pela NIC do Gateway do Tunnel no último check-in do servidor.

  • Uso da CPU – A média de uso da CPU pelo servidor do Gateway do Tunnel a cada cinco minutos.

    • Íntegro – 95% ou menos
    • Aviso – 96% a 99%
    • Não íntegro – 100% de uso

  • Núcleos de CPU – o número de núcleos de CPU disponíveis neste servidor.

    • Íntegro - 4 ou mais núcleos
    • Aviso - 1, 2 ou 3 núcleos
    • Não íntegro -0 núcleos

  • Uso de memória – A média de uso de memória pelo servidor do Gateway do Tunnel a cada cinco minutos.

    • Íntegro – 95% ou menos
    • Aviso – 96% a 99%
    • Não íntegro – 100% de uso

  • Uso de espaço em disco – a quantidade de espaço em disco que o servidor Tunnel Gateway usa.

    • Íntegro - acima de 5 GB
    • Aviso - 3-5 GB
    • Não íntegro - Abaixo de 3 GB

  • Latência – A quantidade média de tempo necessário para que os pacotes de IP cheguem e, depois, saiam da interface de rede.

    • Íntegro – Menos de 10 milissegundos
    • Aviso – De 10 milissegundos a 20 milissegundos
    • Não íntegro – Mais de 20 milissegundos

  • Certificado do agente de gerenciamento – o certificado do agente de gerenciamento é usado pelo Gateway de Túnel para autenticar com o Intune, portanto, é importante renová-lo antes que ele expire. No entanto, ele deverá se renovar automaticamente.

    • Íntegro - A expiração do certificado está há mais de 30 dias.
    • Aviso - A expiração do certificado está a menos de 30 dias.
    • Não íntegro - o certificado expirou.

  • Certificado TLS - O número de dias até que o certificado TLS (Transport Layer Security) que protege o tráfego entre clientes e o servidor do Gateway de Túnel expire.

    • Íntegro – Mais de 30 dias
    • Aviso – 30 dias ou menos
    • Não íntegro: o certificado expirou

  • Revogação de certificado TLS – O gateway de túnel tenta marcar o status de revogação do certificado TLS (Transport Layer Security) usando um protocolo de status de certificado on-line (OCSP) ou endereço de lista de revogação de certificado (CRL), conforme definido pelo certificado TLS. Essa marcar exige que o servidor tenha acesso ao ponto de extremidade OCSP ou ao endereço CRL, conforme definido no certificado.

    • Íntegro - O certificado TLS não foi revogado.
    • Aviso - Não é possível marcar se o certificado TLS foi revogado. Verifique se os pontos de extremidade definidos no certificado podem ser acessados do servidor de encapsulamento.
    • Não íntegro - O certificado TLS foi revogado.

    Plano para substituir um certificado TLS revogado.

    Para saber mais sobre o Protocolo de Status de Certificados Online (OCSP), consulte Protocolo de Status de Certificado Online em wikipedia.org.

  • Acessibilidade de rede interna – Status da verificação mais recente da URL interna. Configure a URL como parte de uma Configuração de Site do Tunnel.

    • Íntegro: o servidor pode acessar a URL especificada nas propriedades do site.
    • Não íntegro: o servidor não pode acessar a URL especificada nas propriedades do site.
    • Desconhecido – esse status é exibido quando você não define uma URL nas propriedades do site. Esse status não afeta o status geral do site.

  • Capacidade de atualização – a capacidade do servidor de entrar em contato com o Repositório de Contêiner da Microsoft, o que permite que o Tunnel Gateway seja atualizado quando as versões estiverem disponíveis.

    • Íntegro - o servidor não entrou em contato com o Repositório de Contêiner da Microsoft nos últimos 5 minutos.
    • Não íntegro - o servidor não entra em contato com o Repositório de Contêiner da Microsoft há mais de 5 minutos.

  • Versão do servidor: o status do software do servidor de gateway de túnel, em relação à versão mais recente.

    • Íntegro – atualizado com a versão mais recente do software
    • Aviso – uma versão anterior
    • Não íntegro – duas ou mais versões anteriores e sem suporte

    Quando a Versão do servidor não estiver Íntegra, planeje instalar atualizações do Microsoft Tunnel.

  • Contêiner do servidor – determina se o contêiner que hospeda o servidor do Microsoft Tunnel está em execução.

    • Íntegro - O status do contêiner do servidor é íntegro.
    • Não íntegro – o status do contêiner do servidor não está íntegro.

  • Configuração do servidor – determina se a configuração do servidor foi aplicada com êxito ao servidor de encapsulamento das configurações do site do Microsoft Intune.

    • Íntegro - A configuração do servidor foi aplicada com êxito.
    • Não íntegro - Não foi possível aplicar a configuração do servidor.

  • Logs do servidor – Determina se os logs foram carregados no servidor nos últimos 60 minutos.

    • Íntegro - Os logs do servidor foram carregados nos últimos 60 minutos.
    • Não íntegro - Os logs do servidor não foram carregados nos últimos 60 minutos.

Gerenciar limites de status de integridade

Você pode personalizar as seguintes métricas de status de integridade do Microsoft Tunnel para alterar os limites usados por cada uma delas para relatar seu status. As personalizações são para todo o locatário e se aplicam a todos os servidores do Tunnel. As métricas de verificação de integridade que podem ser personalizadas incluem:

  • Uso da CPU
  • Uso da memória
  • Uso de espaço em disco
  • Latência

Para modificar um valor de limite de métricas:

Captura de tela de como selecionar e configurar limites de status de integridade.

  1. Entre no centro de administração do Microsoft Intune e vá para Administração de locatáriosStatus de> integridade doGateway> do Microsoft Tunnel.

  2. Selecione Configurar limites.

  3. Na página Limites configurados, defina novos limites para cada categoria de marca de integridade que você deseja personalizar.

    • Os valores de limite se aplicam a todos os servidores em todos os sites.
    • Selecione Reverter para o padrão para restaurar todos os limites de volta para os valores padrão.

  4. Selecione Salvar.

  5. No painel status de integridade, selecione Atualizar para atualizar o status de todos os servidores com base nos valores de limite personalizados.

Depois de modificar os limites, os valores na guia Verificação de integridade serão atualizados automaticamente para refletir o status deles com base nos limites atuais.

Captura de tela de uma exibição de Verificação de integridade de um servidor.

Visualize as tendências do status da integridade de métricas de integridade do Gateway do Microsoft Tunnel na forma de um gráfico. Os dados para os gráficos são calculados em um bloco de três horas e, por isso, podem ter um atraso de até três horas.

Os gráficos de tendência do status de integridade estão disponíveis para as seguintes métricas:

  • Conexões
  • Uso da CPU
  • Uso de espaço em disco
  • Uso da memória
  • Latência média
  • Taxa de transferência

Para exibir gráficos de tendência:

  1. Entre no Centro de administração do Microsoft Intune.

  2. Acesse Administração de locatários>Gateway do Microsoft Tunnel>Status da integridade>Selecionar um servidor e selecione Tendências

  3. Use a lista suspensa Métrica para selecionar o gráfico de métrica que você deseja exibir.

Usar a ferramenta de linha de comando mst-cli

Use a ferramenta de linha de comando mst-cli para obter informações sobre o servidor do Microsoft Tunnel. Esse arquivo é adicionado ao servidor Linux quando o Microsoft Tunnel é instalado. A ferramenta está localizada em: /usr/sbin/mst-cli.

Para obter mais informações e exemplos de linha de comando, confira ferramenta de linha de comando mst-cli para o Microsoft Tunnel.

Ver logs do Microsoft Tunnel

O Microsoft Tunnel registrará informações nos logs do servidor Linux no formato syslog. Para ver as entradas de log, use o comando journalctl -t seguido por uma ou mais marcas que são específicas para entradas do Microsoft Tunnel:

  • mstunnel-agent: exibir logs do agente.

  • mstunnel_monitor: exibir logs de tarefas de monitoramento.

  • ocserv - Exibir logs do servidor.

  • ocserv-access - Exibir logs de acesso.

    Por padrão, o log de acesso está desabilitado. A ativação dos logs de acesso pode reduzir o desempenho, dependendo do número de conexões ativas e dos padrões de uso no servidor. O registro de conexões DNS aumenta o detalhamento dos logs, o que pode se tornar barulhento.

    Os logs de acesso têm o seguinte formato: <Server timestamp><Server Name><ProcessID on Server><userId><deviceId><protocol><src IP and port><dst IP and port><bytes sent><bytes received><connection time in seconds> Por exemplo:

    • 25 de fevereiro 16:37:56 MSTunnelTest-VM ocserv-access[9528]: ACCESS_LOG,41150dc4-238x-4dwv-9q89-55e987f30c32,f5132455-ef2dd-225a-a693-afbbqed482dce,tcp,169.254.54.149:49462,10.88.0.5:80,112,60,10

    Importante

    Em ocserv-access, o valor deviceId identifica a instância de instalação exclusiva do Microsoft Defender que é executada em um dispositivo e não identifica a ID do dispositivo do Intune ou a ID do dispositivo do Microsoft Entra. Se o Defender for desinstalado e reinstalado em um dispositivo, uma nova instância para o DeviceId* será gerada.

    Para habilitar o log de acesso:

    1. definir TRACE_SESSIONS=1 in /etc/mstunnel/env.sh
    2. definir TRACE_SESSIONS=2 para incluir o registro de conexões DNS
    3. Executar mst-cli server restart para reiniciar o servidor.

    Se os logs de acesso forem muito barulhentos, você poderá desativar o log de conexão DNS definindo TRACE_SESSIONS=1 e reiniciar o servidor.

  • OCSERV_TELEMETRY – Exibir detalhes de telemetria para conexões com o Túnel.

    Os registros de telemetria têm o seguinte formato, com os valores de bytes_in, bytes_out e duração sendo usados apenas para operações de desconexão: <operation><client_ip><server_ip><gateway_ip><assigned_ip><user_id><device_id><user_agent><bytes_in><bytes_out><duration> Por exemplo:

    • 20 de outubro 19:32:15 mstunnel ocserv[4806]: OCSERV_TELEMETRY,connect,31258,73.20.85.75,172.17.0.3,169.254.0.1,169.254.107.209,3780e1fc-3ac2-4268-a1fd-dd910ca8c13c, 5A683ECC-D909-4E5F-9C67-C0F595A4A70E,MobileAccess iOS 1.1.34040102

    Importante

    Em OCSERV_TELEMETRY, o valor deviceId identifica a instância de instalação exclusiva do Microsoft Defender que é executado em um dispositivo e não identifica a ID do dispositivo Intune ou a ID do dispositivo Microsoft Entra. Se o Defender for desinstalado e reinstalado em um dispositivo, uma nova instância para o DeviceId* será gerada.

Exemplos de linha de comando para journalctl:

  • Para visualizar informações apenas para o servidor de túnel, execute journalctl -t ocserv.
  • Para exibir o log de telemetria, execute journalctl -t ocserv | grep TELEMETRY
  • Para visualizar informações de todas as opções de log, você pode executar journalctl -t ocserv -t ocserv-access -t mstunnel-agent -t mstunnel_monitor.
  • Adicionar -f ao comando para exibir uma visualização ativa e contínua do arquivo de log. Por exemplo, para monitorar ativamente os processos em andamento para o Microsoft Tunnel, execute journalctl -t mstunnel_monitor -f.

Mais opções para journalctl:

  • journalctl -h: exibir a ajuda de comando para journalctl.
  • man journalctl – Exibir informações adicionais.
  • man journalctl.conf – Exibir informações sobre a configuração. Para obter mais informações sobre journalctl, confira a documentação para a versão do Linux que você usa.

Upload fácil de logs de diagnóstico para servidores de túnel

Como auxílio de diagnóstico, você pode usar um único clique no centro de administração do Intune para que o Intune habilite, colete e envie logs detalhados de um Tunnel Gateway Server diretamente para a Microsoft. Esses logs detalhados estão disponíveis diretamente para a Microsoft quando você está trabalhando com a Microsoft para identificar ou resolver problemas com um servidor Tunnel.

Você pode coletar e carregar logs detalhados de um evento antes de abrir um incidente de suporte ou mediante solicitação, caso já esteja trabalhando com a Microsoft para examinar uma operação de servidores de túnel.

Para usar esse recurso:

  1. Abra o centro de administração do Microsoft Intune, vá para Administração de> locatários,Gateway do Microsoft Tunnel>, selecione um servidor> e, em seguida, selecione a guia Logs.

  2. Na guia Logs , localize a seção Enviar logs detalhados do servidor e selecione Enviar logs.

Quando você seleciona Enviar logs para um servidor de encapsulamento, o seguinte processo começa:

  • Primeiro, o Intune captura o conjunto atual de logs do servidor de túnel e os carrega diretamente na Microsoft. Esses logs são coletados usando o nível de detalhamento de log atual do servidor. Por padrão, o nível de detalhamento do servidor é zero (0).
  • Em seguida, o Intune habilita um nível de detalhamento de quatro (4) para os logs do servidor de encapsulamento. Esse nível de detalhamento detalhado é coletado por oito horas.
  • Durante as oito horas de coleta de log detalhada, o problema ou operação que está sendo investigado deve ser reproduzido para capturar os detalhes detalhados nos logs.
  • Após oito horas, o Intune coleta um segundo conjunto de logs do servidor que inclui os detalhes detalhados e os carrega na Microsoft. No momento do upload, o Intune também redefine os logs do servidor de túnel para usar o nível de detalhamento padrão de zero (0). Se você elevou anteriormente o nível de detalhamento do Servidor, depois que o Intune redefinir o detalhamento para zero, você poderá restaurar seu nível de detalhamento personalizado.

Cada conjunto de logs que o Intune coleta e carrega é identificado como um conjunto separado com os seguintes detalhes aparecendo no centro de administração abaixo do botão Enviar logs:

  • Uma hora de início e término da coleção de logs
  • Quando o upload foi gerado
  • O nível de detalhamento detalhado dos conjuntos de logs
  • O status da coleta de logs (concluído, com falha ou em andamento)

Captura de tela que mostra a interface Enviar logs detalhados do servidor.

Depois de reproduzir um problema durante a fase de coleta de log detalhado, a Microsoft pode usar os logs coletados para investigá-lo.

Sobre a coleção de logs

  • O Intune não para ou reinicia o servidor de túnel para habilitar ou desabilitar o registro em log detalhado.
  • O período de registro detalhado de oito horas não pode ser estendido ou interrompido antecipadamente.
  • Você pode usar o processo Enviar logs quantas vezes forem necessárias para capturar um problema com o registro em log detalhado. No entanto, o aumento do detalhamento de log adiciona tensão ao Tunnel Server e não é recomendado como uma configuração regular.
  • Após o término do registro detalhado, o nível de detalhamento padrão de zero é definido para logs do servidor de túnel, independentemente dos níveis de detalhamento definidos anteriormente.
  • Os logs a seguir são coletados por meio desse processo:
    • mstunnel-agent (logs do agente)
    • mstunnel_monitor (Monitorando logs de tarefas)
    • ocserv (logs do servidor)

Os logs de acesso ocserv não são coletados ou carregados.

Problemas conhecidos

A seguir estão os problemas conhecidos do Microsoft Tunnel.

Integridade do servidor

Os clientes podem usar o Túnel com êxito quando o status de integridade do servidor for exibido como offline

Problema: na guia Status de integridade do túnel, o status de integridade de um servidor é relatado como offline, indicando que ele está desconectado, mesmo que os usuários possam acessar o servidor de túnel e se conectar aos recursos da organização.

Solução: para resolver esse problema, você deve reinstalar o Microsoft Tunnel, que registra novamente o agente do servidor do Tunnel com o Intune. Para evitar esse problema, instale atualizações para o agente e o servidor do Tunnel logo após o lançamento. Use as métricas de integridade do servidor de encapsulamento no centro de administração do Microsoft Intune para monitorar a integridade do servidor.

Com o Podman, você vê "Erro ao executar a verificação" no log mstunnel_monitor

Problema: O Podman não consegue identificar ou ver se os contêineres ativos estão em execução e relata "Erro ao executar a verificação" no log de mstunnel_monitor do servidor do Tunnel. A seguir estão exemplos dos erros:

  • Agente:

    Error executing Checkup
Error details
\tscript: 561 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-agent
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

  • Servidor:

    Error executing Checkup
Error details
\tscript: 649 /usr/sbin/mst-cli
\t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger)
\tstack:
\t\t<> Checkup /usr/sbin/mst-cli Message: NA
\t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-server
\t\t<> main /usr/sbin/mstunnel_monitor Message: NA

Solução: Para resolver esse problema, reinicie manualmente os contêineres do Podman. Podman deve então ser capaz de identificar os contêineres. Se o problema persistir ou retornar, considere usar o cron para criar um trabalho que reinicie automaticamente os contêineres quando esse problema for visto.

Com o Podman, você vê erros System.DateTime no log mstunnel-agent

Problema: quando você usa o Podman, o log mstunnel-agent pode conter erros semelhantes às seguintes entradas:

  • Failed to parse version-info.json for version information.
  • System.Text.Json.JsonException: The JSON value could not be converted to System.DateTime

Esse problema ocorre devido a diferenças nas datas de formatação entre o Podman e o Tunnel Agent. Esses erros não indicam um problema fatal nem impedem a conectividade. Começando com os contêineres lançados após outubro de 2022, os problemas de formatação devem ser resolvidos.

Solução: para resolver esses problemas, atualize o contêiner do agente (Podman ou Docker) para a versão mais recente. À medida que novas fontes desses erros forem descobertas, continuaremos a corrigi-las em atualizações de versão subsequentes.

Conectividade com o Túnel

Falha na conexão dos dispositivos ao servidor do Tunnel

Problema: os dispositivos não conseguem se conectar ao servidor e o arquivo de log ocserv do servidor de encapsulamento contém uma entrada semelhante à seguinte: main: tun.c:655: Can't open /dev/net/tun: Operation not permitted

Para obter orientações sobre como visualizar os logs do Túnel, consulte Exibir logs do Túnel da Microsoft neste artigo.

Solução: Reinicie o servidor usando mst-cli server restart após a reinicialização do servidor Linux.

Se este problema persistir, considere automatizar o comando de reinicialização usando o utilitário de agendamento cron. Confira Como usar o cron no Linux em opensource.com.

Conteúdo relacionado

Referência para o Microsoft Tunnel

  • Last updated on