Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Nach der Installation von Microsoft Tunnel können Sie die Serverkonfiguration und den Serverstatus im Microsoft Intune Admin Center anzeigen.
Verwenden der Admin Center-Benutzeroberfläche
Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zur Mandantenverwaltung>Microsoft Tunnel Gateway>Health status.
Wählen Sie als Nächstes einen Server aus, und öffnen Sie dann die Registerkarte "Integritätsprüfung", um die Metriken zum Status dieses Servers anzuzeigen. Standardmäßig verwendet jede Metrik vordefinierte Schwellenwerte, die den Status festlegen. Die folgenden Metriken unterstützen die Anpassung dieser Schwellenwerte:
- CPU-Auslastung
- Speicherauslastung
- Speicherplatznutzung
- Wartezeit
Standardwerte für Serverintegritätsmetriken:
Letzte Anmeldung: Zeitpunkt der letzten Anmeldung des Tunnel Gateway-Servers bei Intune.
- Fehlerfrei: Der letzte Anmeldevorgang war innerhalb der letzten fünf Minuten
- Fehlerhaft – Der letzte Check-in war vor über fünf Minuten.
Aktuelle Verbindungen: Die Anzahl der eindeutigen Verbindungen, die bei der letzten Anmeldung des Servers aktiv waren.
- Fehlerfrei: Es bestanden 4.990 oder weniger Verbindungen
- Fehlerhaft: Es bestanden mehr als 4.990 aktive Verbindungen
Durchsatz: Die Megabits pro Sekunde an Datenverkehr, die bei der letzten Serveranmeldung durch die NIC des Tunnel Gateways übergeben wurden.
CPU-Auslastung: Die durchschnittliche CPU-Auslastung durch den Tunnel Gateway-Server alle fünf Minuten.
- Fehlerfrei: 95 % oder weniger
- Warnung: 96 % bis 99 %
- Fehlerhaft: 100 % Auslastung
CPU-Kerne – Die Anzahl der auf diesem Server verfügbaren CPU-Kerne.
- Fehlerfrei – 4 oder mehr Kerne
- Warnung – 1, 2 oder 3 Kerne
- Fehlerhaft -0 Kerne
Speichernutzung: Die durchschnittliche Belegung des Arbeitsspeichers durch den Tunnel Gateway-Server alle 5 Minuten.
- Fehlerfrei: 95 % oder weniger
- Warnung: 96 % bis 99 %
- Fehlerhaft: 100 % Auslastung
Speicherplatznutzung – die Menge an Speicherplatz, die der Tunnelgatewayserver verwendet.
- Fehlerfrei – über 5 GB
- Warnung – 3–5 GB
- Fehlerhaft – unter 3 GB
Latenz: die durchschnittliche Zeitspanne, die zwischen dem Eintreffen von IP-Paketen und ihrem Verlassen der Netzwerkschnittstelle vergeht.
- Fehlerfrei: weniger als 10 Millisekunden
- Warnung: 10 Millisekunden bis 20 Millisekunden
- Fehlerhaft: Mehr als 20 Millisekunden
Verwaltungs-Agent-Zertifikat – Das Verwaltungs-Agent-Zertifikat wird von Tunnelgateway zur Authentifizierung bei Intune verwendet, daher ist es wichtig, es vor Ablauf zu erneuern. Er sollte sich jedoch automatisch verlängern.
- Fehlerfrei : Das Zertifikat läuft erst in mehr als 30 Tagen ab.
- Warnung – Das Zertifikat läuft in weniger als 30 Tagen ab.
- Fehlerhaft – Zertifikat ist abgelaufen.
TLS-Zertifikat – Die Anzahl der Tage, bis das TLS-Zertifikat (Transport Layer Security), das den Datenverkehr zwischen Clients und dem Tunnelgatewayserver sichert, abläuft.
- Fehlerfrei: mehr als 30 Tage
- Warnung: 30 Tage oder weniger
- Fehlerhaft: Das Zertifikat ist abgelaufen
TLS-Zertifikatsperrung – Das Tunnelgateway versucht, den Status des TLS-Zertifikats (Transport Layer Security) mithilfe einer OCSP-Adresse (Online Certificate Status Protocol) oder einer CRL-Adresse (Certificate Revocation List) zu überprüfen, die vom TLS-Zertifikat definiert ist. Für diese Überprüfung muss der Server Zugriff auf den im Zertifikat definierten OCSP-Endpunkt oder die CRL-Adresse haben.
- Fehlerfrei : Das TLS-Zertifikat wird nicht widerrufen.
- Warnung – Es kann nicht überprüft werden, ob das TLS-Zertifikat widerrufen wurde. Stellen Sie sicher, dass vom Tunnelserver aus auf die im Zertifikat definierten Endpunkte zugegriffen werden kann.
- Fehlerhaft : Das TLS-Zertifikat wurde widerrufen.
Planen, ein widerrufenes TLS-Zertifikat zu ersetzen.
Weitere Informationen zum Online Certificate Status-Protokoll (OCSP) finden Sie unter Online Certificate Status-Protokoll unter wikipedia.org.
Interner Netzwerkzugriff: Status der letzten Überprüfung der internen URL. Sie konfigurieren die URL als Teil einer Tunnel-Standortkonfiguration.
- Fehlerfrei: Der Server kann auf die URL zugreifen, die in den Standorteigenschaften angegeben ist.
- Fehlerhaft: Der Server kann nicht auf die URL zugreifen, die in den Standorteigenschaften angegeben ist.
- Unbekannt: Dieser Status wird angezeigt, wenn Sie in den Standorteigenschaften keine URL festgelegt haben. Dieser Status wirkt sich nicht auf den Gesamtstatus des Standorts aus.
Upgradefähigkeit : Die Fähigkeit des Servers, das Microsoft Container Repository zu kontaktieren, wodurch Tunnel Gateway ein Upgrade durchführen kann, wenn Versionen verfügbar sind.
- Fehlerfrei – Der Server hat das Microsoft Container Repository in den letzten 5 Minuten nicht kontaktiert.
- Fehlerhaft – Server hat das Microsoft Container Repository seit mehr als 5 Minuten nicht kontaktiert.
Serverversion: Der Status der Tunnel-Gatewayserver-Software in Bezug auf die neueste Version.
- Fehlerfrei: Auf dem neuesten Stand hinsichtlich der neuesten Softwareversion
- Warnung: Eine Version im Rückstand
- Fehlerhaft: Zwei oder mehr Versionen im Rückstand, und Support wurde beendet
Wenn die Serverversion nicht fehlerfrei ist, planen Sie die Installation von Upgrades für Microsoft Tunnel.
Servercontainer – Bestimmt, ob der Container, der den Microsoft Tunnel-Server hostet, ausgeführt wird.
- Fehlerfrei: Der Status des Servercontainers ist fehlerfrei.
- Fehlerhaft – Der Status des Servercontainers ist nicht fehlerfrei.
Serverkonfiguration – Bestimmt, ob die Serverkonfiguration erfolgreich über die Microsoft Intune-Websiteeinstellungen auf den Tunnelserver angewendet wurde.
- Fehlerfrei – Die Serverkonfiguration wurde erfolgreich angewendet.
- Fehlerhaft : Die Serverkonfiguration konnte nicht angewendet werden.
Serverprotokolle – Ermittelt, ob Protokolle innerhalb der letzten 60 Minuten auf den Server hochgeladen wurden.
- Fehlerfrei : Serverprotokolle wurden innerhalb der letzten 60 Minuten hochgeladen.
- Fehlerhaft : Serverprotokolle wurden in den letzten 60 Minuten nicht hochgeladen.
Verwalten von Schwellenwerten für den Integritätsstatus
Sie können die folgenden Microsoft Tunnel-Integritätsstatusmetriken anpassen und die Schwellenwerte ändern, die jeweils zum Melden ihres Status verwendet werden. Anpassungen gelten mandantenweit für alle Tunnel-Server. Folgende Metriken der Integritätsprüfung können angepasst werden:
- CPU-Auslastung
- Speicherauslastung
- Speicherplatznutzung
- Wartezeit
So ändern Sie einen Schwellenwert für Metriken
Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zur Mandantenverwaltung>Microsoft Tunnel Gateway>Health status.
Wählen Sie Schwellenwerte konfigurieren aus.
Legen Sie auf der Seite "Konfigurierte Schwellenwerte " neue Schwellenwerte für jede Integritätsprüfungskategorie fest, die Sie anpassen möchten.
- Schwellenwerte gelten für alle Server an allen Standorten.
- Wählen Sie Auf Standardwert zurücksetzen aus, um alle Schwellenwerte auf ihre Standardwerte zurückzusetzen.
Wählen Sie Speichern.
Klicken Sie im Bereich „Integritätsstatus“ auf Aktualisieren, um den Status aller Server basierend auf den benutzerdefinierten Schwellenwerten zu aktualisieren.
Wenn Sie die Schwellenwerte ändern, werden die Werte auf der Registerkarte Integritätsprüfung eines Servers automatisch aktualisiert, um den Status auf den aktuellen Schwellenwerten basierend widerzuspiegeln.
Integritätsstatustrends für Tunnel-Server
Zeigen Sie Integritätsstatustrends für Integritätsmetriken für Microsoft Tunnel-Gateways in Form eines Diagramms an. Die Daten für die Diagramme werden über einen Drei-Stunden-Block gemittelt und können daher um bis zu drei Stunden verzögert sein.
Die Trenddiagramme für den Integritätsstatus sind für die folgenden Metriken verfügbar:
- Connections
- CPU-Auslastung
- Speicherplatznutzung
- Speicherauslastung
- Durchschnittliche Wartezeit
- Durchsatz
So zeigen Sie Trenddiagramme an:
Melden Sie sich beim Microsoft Intune Admin Center an.
Wechseln Sie zu Mandantenverwaltung>Microsoft Tunnel-Gateway>Integritätsstatus>Server auswählen, und klicken Sie dann auf Trends.
Wählen Sie in der Dropdownliste Metrik das Metrikdiagramm aus, das Sie anzeigen möchten.
Verwenden des mst-cli-Befehlszeilentools
Verwenden Sie das mst-cli-Befehlszeilentool, um Informationen über den Microsoft Tunnel-Server abzurufen. Diese Datei wird bei der Installation von Microsoft Tunnel dem Linux-Server hinzugefügt. Das Tool befindet sich unter: /usr/sbin/mst-cli.
Weitere Informationen und Befehlszeilenbeispiele finden Sie unter mst-cli-Befehlszeilentool für Microsoft Tunnel.
Anzeigen von Microsoft Tunnel-Protokollen
Microsoft Tunnel protokolliert Informationen in den Linux-Serverprotokollen im syslog-Format. Verwenden Sie zum Anzeigen von Protokolleinträgen den Befehl journalctl -t, gefolgt von einem oder mehreren Tags, die für Microsoft Tunnel-Einträge spezifisch sind:
mstunnel-agent: Anzeigen der Agent-Protokolle.
mstunnel_monitor: Anzeigen der Aufgabenüberwachungsprotokolle.
ocserv - Serverprotokolle anzeigen.
ocserv-access: Zeigt Zugriffsprotokolle an.
Standardmäßig ist die Zugriffsprotokollierung deaktiviert. Das Aktivieren von Zugriffsprotokollen kann die Leistung verringern, je nach Anzahl aktiver Verbindungen und Nutzungsmustern auf dem Server. Die Protokollierung für DNS-Verbindungen erhöht die Ausführlichkeit der Protokolle, was zu Rauschen führen kann.
Zugriffsprotokolle haben das folgende Format:
<Server timestamp><Server Name><ProcessID on Server><userId><deviceId><protocol><src IP and port><dst IP and port><bytes sent><bytes received><connection time in seconds>Beispiel:- Feb 25 16:37:56 MSTunnelTest-VM ocserv-access[9528]: ACCESS_LOG,41150dc4-238x-4dwv-9q89-55e987f30c32,f5132455-ef2dd-225a-a693-afbbqed482dce,tcp,169.254.54.149:49462,10.88.0.5:80,112,60,10
Wichtig
In ocserv-access identifiziert der deviceId-Wert die eindeutige Installations-instance von Microsoft Defender, die auf einem Gerät ausgeführt wird, und identifiziert weder die Intune Geräte-ID noch Microsoft Entra Geräte-ID. Wenn Defender deinstalliert und dann auf einem Gerät neu installiert wird, wird eine neue Instance für die DeviceId* generiert.
So aktivieren Sie die Zugriffsprotokollierung:
- legen Sie TRACE_SESSIONS=1 fest in /etc/mstunnel/env.sh
- legen Sie TRACE_SESSIONS=2 fest, um die Protokollierung für DNS-Verbindungen einzuschließen.
- Führen Sie
mst-cli server restartaus, um den Server neu zu starten.
Wenn Zugriffsprotokolle zu viel Rauschen verursachen, können Sie die DNS-Verbindungsprotokollierung deaktivieren, indem Sie TRACE_SESSIONS=1 festlegen und den Server neu starten.
OCSERV_TELEMETRY – Telemetriedetails für Verbindungen zu Tunnel anzeigen.
Telemetrieprotokolle haben das folgende Format, wobei die Werte für bytes_in, bytes_out und Dauer nur für Trennungsvorgänge verwendet werden:
<operation><client_ip><server_ip><gateway_ip><assigned_ip><user_id><device_id><user_agent><bytes_in><bytes_out><duration>Zum Beispiel:- 20. Okt. 19:32:15 mstunnel ocserv[4806]: OCSERV_TELEMETRY,connect,31258,73.20.85.75,172.17.0.3,169.254.0.1,169.254.107.209,3780e1fc-3ac2-4268-a1fd-dd910ca8c13c, 5A683ECC-D909-4E5F-9C67-C0F595A4A70E,MobileAccess iOS 1.1.34040102
Wichtig
In OCSERV_TELEMETRY identifiziert der deviceId-Wert die eindeutige Installations-instance von Microsoft Defender, die auf einem Gerät ausgeführt wird, und identifiziert weder die Intune Geräte-ID noch Microsoft Entra Geräte-ID. Wenn Defender deinstalliert und dann auf einem Gerät neu installiert wird, wird eine neue Instance für die DeviceId* generiert.
Befehlszeilenbeispiele für journalctl:
- Wenn Sie nur Informationen für den Tunnelserver anzeigen möchten, führen Sie
journalctl -t ocservaus. - Führen Sie zum Anzeigen des Telemetrieprotokolls
journalctl -t ocserv | grep TELEMETRY - Um Informationen zu allen Protokolloptionen anzuzeigen, können Sie
journalctl -t ocserv -t ocserv-access -t mstunnel-agent -t mstunnel_monitorausführen. - Fügen Sie dem Befehl
-fhinzu, um eine aktive und fortlaufende Ansicht der Protokolldatei anzuzeigen. Wenn Sie z. B. fortlaufende Prozesse für Microsoft Tunnel aktiv überwachen möchten, führen Siejournalctl -t mstunnel_monitor -faus.
Weitere Optionen für journalctl:
-
journalctl -h: Anzeigen der Befehlshilfe für journalctl. -
man journalctl: Anzeigen zusätzlicher Informationen -
man journalctl.conf: Anzeigen von Informationen zur Konfiguration. Weitere Informationen zu journalctl finden Sie in der Dokumentation für die Linux-Version, die Sie verwenden.
Einfaches Hochladen von Diagnoseprotokollen für Tunnelserver
Als Diagnosehilfe können Sie einen einzigen Klick im Intune Admin Center verwenden, um ausführliche Protokolle von einem Tunnelgatewayserver in Intune aktivieren, sammeln und direkt an Microsoft übermitteln zu lassen. Diese ausführlichen Protokolle stehen Microsoft dann direkt zur Verfügung, wenn Sie mit Microsoft zusammenarbeiten, um Probleme mit einem Tunnel-Server zu identifizieren oder zu beheben.
Sie können ausführliche Protokolle von einem Ereignis sammeln und hochladen, bevor Sie einen Supportfall eröffnen, oder auf Anfrage, wenn Sie bereits mit Microsoft zusammenarbeiten, um den Vorgang eines Tunnelservers zu untersuchen.
So verwenden Sie diese Funktion:
Öffnen Sie das Microsoft Intune Admin Center, wechseln Sie zur Mandantenverwaltung>Microsoft Tunnel-Gateway> Wählen Sie einen Server> und dann die Registerkarte Protokolle aus.
Suchen Sie auf der Registerkarte Protokolle den Abschnitt Ausführliche Serverprotokolle senden und wählen Sie Protokolle senden aus.
Wenn Sie Protokolle für einen Tunnelserver senden auswählen, beginnt der folgende Prozess:
- Zunächst erfasst Intune den aktuellen Satz von Tunnelserverprotokollen und lädt sie direkt an Microsoft hoch. Diese Protokolle werden mithilfe der aktuellen Protokollausführlichkeitsstufe des Servers gesammelt. Standardmäßig ist die Ausführlichkeitsstufe des Servers Null (0).
- Als Nächstes aktiviert Intune eine Ausführlichkeitsstufe von vier (4) für die Tunnelserverprotokolle. Dieser Detaillierungsgrad wird acht Stunden lang erfasst.
- Während der acht Stunden ausführlicher Protokollerfassung sollte das untersuchte Problem oder der untersuchte Vorgang reproduziert werden, um die ausführlichen Details in den Protokollen zu erfassen.
- Nach acht Stunden sammelt Intune einen zweiten Satz der Serverprotokolle, die die ausführlichen Details enthalten, und lädt sie an Microsoft hoch. Zum Zeitpunkt des Uploads setzt Intune auch die Tunnelserverprotokolle zurück, um den Standardausführlichkeitsgrad von Null (0) zu verwenden. Wenn Sie zuvor den Ausführlichkeitsgrad des Servers erhöht haben, können Sie, nachdem Intune die Ausführlichkeit auf Null zurückgesetzt hat, Ihre benutzerdefinierte Ausführlichkeitsstufe wiederherstellen.
Jeder Satz von Protokollen, die Intune sammelt und hochlädt, wird als separater Satz identifiziert, wobei die folgenden Details im Admin Center unterhalb der Schaltfläche "Protokolle senden" angezeigt werden:
- Start- und Endzeit der Protokollsammlung
- Wann der Upload generiert wurde
- Das Protokoll legt den Ausführlichkeitsgrad fest
- Eine Incident-ID, die zur Identifizierung dieses spezifischen Protokollsatzes verwendet werden kann
Nachdem Sie ein Problem beim Ausführen der ausführlichen Protokollsammlung erfasst haben, können Sie die Incident-ID dieses Protokollsatzes Microsoft zur Verfügung stellen, um die Untersuchung zu erleichtern.
Informationen zur Protokollsammlung
- Intune beendet den Tunnelserver nicht und startet ihn nicht neu, um die ausführliche Protokollierung zu aktivieren oder zu deaktivieren.
- Der ausführliche achtstündige Protokollierungszeitraum kann nicht verlängert oder vorzeitig beendet werden.
- Sie können den Prozess zum Senden von Protokollen so oft wie nötig verwenden, um ein Problem mit der ausführlichen Protokollierung zu erfassen. Eine erhöhte Ausführlichkeit des Protokolls erhöht jedoch die Belastung des Tunnelservers und wird nicht als reguläre Konfiguration empfohlen.
- Nach Beendigung der ausführlichen Protokollierung wird der Standardausführlichkeitsgrad von Null für Tunnelserverprotokolle festgelegt, unabhängig von zuvor festgelegten Ausführlichkeitsgraden.
- Durch diesen Prozess werden die folgenden Protokolle gesammelt:
- mstunnel-agent (Agent-Protokolle )
- mstunnel_monitor (Überwachen von Taskprotokollen)
- ocserv (Serverprotokolle)
Die ocserv-access-Protokolle werden nicht gesammelt oder hochgeladen.
Bekannte Probleme
Im Folgenden sind bekannte Probleme für Microsoft Tunnel aufgeführt.
Zustand des Servers
Clients können den Tunnel erfolgreich benutzen, wenn der Status der Serverintegrität als offline angezeigt wird
Problem: Auf der Registerkarte "Tunnelintegrität status" wird die Integrität eines Servers status als offline gemeldet, was darauf hinweist, dass die Verbindung unterbrochen wurde, obwohl Benutzer den Tunnelserver erreichen und eine Verbindung zu den Ressourcen des organization herstellen können.
Lösung: Um dieses Problem zu beheben, müssen Sie Microsoft Tunnel neu installieren, wodurch der Tunnelserver-Agent mit Intune erneut registriert wird. Um dieses Problem zu vermeiden, installieren Sie Updates für den Tunnel-Agent und -Server kurz nach ihrer Veröffentlichung. Verwenden Sie die Integritätsmetriken für Tunnelserver im Microsoft Intune Admin Center, um die Serverintegrität zu überwachen.
Bei Podman wird "Fehler bei der Ausführung der Überprüfung" im mstunnel_monitor Protokoll angezeigt
Problem: Podman erkennt oder sieht nicht, dass die aktiven Container ausgeführt werden, und meldet "Fehler bei der Ausführung der Überprüfung" im mstunnel_monitor Protokoll des Tunnelservers. Im Folgenden finden Sie einige Beispiele für die Fehler:
Agent:
Error executing Checkup Error details \tscript: 561 /usr/sbin/mst-cli \t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger) \tstack: \t\t<> Checkup /usr/sbin/mst-cli Message: NA \t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-agent \t\t<> main /usr/sbin/mstunnel_monitor Message: NAServer:
Error executing Checkup Error details \tscript: 649 /usr/sbin/mst-cli \t\tcommand: $ctr_cli exec $agent_name mstunnel checkup 2> >(FailLogger) \tstack: \t\t<> Checkup /usr/sbin/mst-cli Message: NA \t\t<> MonitorServices /usr/sbin/mst-cli Message: Failure starting service mstunnel-server \t\t<> main /usr/sbin/mstunnel_monitor Message: NA
Lösung: Um dieses Problem zu beheben, starten Sie die Podman-Container manuell. Podman sollte dann in der Lage sein, die Container zu identifizieren. Wenn das Problem weiterhin besteht oder zurückkehrt, sollten Sie mit cron einen Auftrag erstellen, der die Container automatisch neu startet, wenn dieses Problem auftritt.
Mit Podman werden System.DateTime-Fehler im mstunnel-agent-Protokoll angezeigt
Problem: Wenn Sie Podman verwenden, kann das mstunnel-agent-Protokoll Fehler ähnlich den folgenden Einträgen enthalten:
Failed to parse version-info.json for version information.System.Text.Json.JsonException: The JSON value could not be converted to System.DateTime
Dieses Problem tritt aufgrund von Unterschieden in der Datumsformatierung zwischen Podman und Tunnel Agent auf. Diese Fehler weisen nicht auf ein schwerwiegendes Problem hin oder verhindern die Konnektivität. Beginnend mit Containern, die nach Oktober 2022 veröffentlicht werden, sollten die Formatierungsprobleme behoben sein.
Lösung: Um diese Probleme zu beheben, aktualisieren Sie den Agent-Container (Podman oder Docker) auf die neueste Version. Wenn neue Fehlerquellen entdeckt werden, werden wir sie in nachfolgenden Versionsupdates weiter beheben.
Konnektivität zu Tunnel
Geräte können keine Verbindung mit dem Tunnelserver herstellen
Problem: Geräte können keine Verbindung zum Server herstellen, und die ocserv-Protokolldatei des Tunnelservers enthält einen Eintrag ähnlich dem folgenden Eintrag: main: tun.c:655: Can't open /dev/net/tun: Operation not permitted
Anleitungen zum Anzeigen von Tunnelprotokollen finden Sie in diesem Artikel unter Anzeigen von Microsoft Tunnel-Protokollen.
Lösung: Starten Sie den Server mst-cli server restart nach dem Neustart des Linux-Servers neu.
Wenn dieses Problem fortbesteht, sollten Sie erwägen, den Neustartbefehl mithilfe des Cron-Planungsdienstprogramms zu automatisieren. Siehe Verwenden von Cron unter Linux unter opensource.com.