ASA, VPN Tunnel überwachen

[hegl 10]

Wir überwachen unsere VPN-Verbindungen zu unseren Remote-Standorten mittels PRTG.
Bei einem neuen VPN zu einem Partnern, wo wir Ressourcen nutzen, habe ich die Überwachung analog eingestellt und musste heute Morgen feststellen, dass diese Überwachung nur zu gut funktioniert :cool:

Mein Problem ist jetzt aber, dass der Tunnel, nachdem kein traffic mehr produziert wurde, sich abbaut und erst heute Morgen bei Anforderung durch initiierten traffic wieder hoch kam. Ehrlich gesagt hatte ich mir dazu noch nie Gedanken gemacht und würde nun gerne wissen, ob es einen Parameter gibt, wo der Tunnel ohne entsprechenden traffic abgebaut wird oder warum dieser bei unseren Remote-Standorten auch nachts immer up ist.

[Otaku19 33]

Was genau wird denn da gemonitored ?

 

bis auf herstellerspezifische Tunnel sind IPSEC tunnel nur solange vorhandne wie es auch eine SA gibt deren timer noch nicht abgelaufen sind.

[hegl 10]

Ich prüfe einfach, ob der Tunnel aktiv ist oder nicht. Dazu gibt es in PRTG einen enstprechenden Sensor, der die ASA abfragt.

[Otaku19 33]

Ist eher "sinnfrei". Viel besser sind "end2End" Monitorings, sprich ein System bei euch kommuniziert mit einem System auf der Gegenseite. Bei Branch Offices etc ist das  sehr einfach zu regeln, wir haben zb ~50 Shops per VPN angebunden, jeder Shop hat zumindest einen Switch den wir erreichen können. Diese Verbindung zeigt duetlich ob das VPN funktioniert oder nicht, unabhängig ob vielleicht ein Tunnel/eine SA vorhanden ist.

 

Bei externen Partnern wirds da meist schon schwieriger, vor allem wenn das Anbindungen sind die nur inbound sind. Da würde ich sagen, Alarme zu tunnels die da down gehen ignorieren oder abdrehen, bei Variante 1 hätte man immerhin einen schönen Verlauf im PRTG wann der Tunnel down war und wann nicht. Das trifft aber keine 100% Aussage ob da auch traffic möglich war.

 

Alle Basteleien die ich kenne und die in Richtung "permanente Tunnels" gehen sind Krücken die mehr Probleme machen als sie lösen sollten...ergo, eine Phase1/2 hat ein timeout und das ist gut so :)

[hegl 10]

Ok, habe jetzt die Eskalationsmeldungen deaktiviert. Da es ein externer Partner ist, kann ich auch nicht so ohne weiteres dort die Ressource permanent abfragen.