VPN-Überwachung: Site-to-Site-Tunnel und Client-VPN-Anwendungen

VPN-Überwachung ist die kontinuierliche, synthetische Prüfung von virtuellen privaten Netzwerktunneln und den Anwendungen, die davon abhängen. Sie beantwortet drei Fragen nach Zeitplan: Ist der Tunnel verfügbar? Ist er schnell genug? Und können die dahinterliegenden Dienste tatsächlich von den Benutzern und Standorten erreicht werden, die sie benötigen? Moderne VPN-Überwachung kombiniert ICMP- und TCP-Sonden zur Erreichbarkeit des Tunnels, SNMP-Abfragen von Firewall- und VPN-Konzentrator-Metriken sowie HTTPS- / browserbasierte Prüfungen gegen interne Anwendungen – alle ausgeführt innerhalb des Netzwerks durch einen Private Agent oder über das öffentliche Internet durch verteilte Überwachungsstandorte.

Da VPNs fast immer auf dem kritischen Pfad für Remote-Arbeit, Niederlassungsverbindungen und Hybrid-Cloud-Verkehr sind — und weil sie stillschweigend ausfallen. Ein Site-to-Site-Tunnel kann in der Firewall-UI als “aktiv” angezeigt werden, während Pakete fallen gelassen werden, ständig neu verschlüsselt wird oder der Datenverkehr über einen verschlechterten ISP geroutet wird. Ein Client-VPN kann Benutzer erfolgreich authentifizieren, während die dahinterliegende Intranet-Anwendung 500er-Fehler liefert. Ohne dediziertes VPN-Monitoring werden diese Ausfälle erst entdeckt, wenn Benutzer sich beschweren. Kontinuierliches synthetisches VPN-Monitoring macht Tunnelabbrüche, Latenzverschlechterungen, Zertifikatsabläufe, Split-Horizon-DNS-Abweichungen und Ausfälle interner Anwendungen in Sekunden sichtbar — bevor sie zu Support-Tickets oder SLA-Verletzungen werden.

Sie überwachen eine VPN-Verbindung, indem Sie eine Überwachungsprobe auf jeder Seite des Tunnels platzieren — oder zumindest auf einer Seite mit einem bekannten Testziel auf der anderen — und geplante End-to-End-Checks durchführen. Mit Dotcom-Monitor: (1) installieren Sie einen Private Agent innerhalb des Netzwerks (Windows oder Linux, ca. 5 Minuten), (2) erstellen Sie ServerView-Aufgaben für ICMP-Ping, TCP-Port-Checks und Traceroute über den Tunnel, (3) fügen Sie HTTPS- oder BrowserView-Aufgaben gegen eine interne Anwendung hinzu, um die End-to-End-Nutzbarkeit zu validieren, und (4) optional SNMP-Abfragen mit MetricsView gegen den VPN-Konzentrator für Tunnelzähler und Durchsatz. Ergebnisse werden über eine einzige ausgehende HTTPS-Verbindung gestreamt — keine eingehenden Firewall-Regeln erforderlich.

Kombinieren Sie vier Ebenen: Erreichbarkeit (ICMP-Ping zu einem stabilen Host im entfernten LAN alle 60 Sekunden), Pfadvalidierung (Traceroute bestätigt, dass die Route den Tunnel durchläuft und nicht einen Fallback-Internetpfad), Service-Checks (TCP-Port- oder HTTPS-Probes gegen einen realen Dienst im entfernten Subnetz) und Gerätetypelerie (SNMP-Abfragen des VPN-Gateways für Tunnelstatus, Pakete rein/raus, CPU und Sessions). Alarmieren Sie sowohl bei Hard-Failures als auch bei Trend-Schwellen — ein Tunnel, dessen Latenz sich über 24 Stunden verdoppelt hat, ist genauso handlungsrelevant wie ein ausgefallener Tunnel. Dotcom-Monitor liefert alle vier aus einem Agenten, einer UI und einem Satz von Alarmen.

Die Metriken, die mit tatsächlicher Nutzerwirkung korrelieren, sind: Tunnel-Status (aktiv/inaktiv), Round-Trip-Latenz (ms), Jitter (Variation der Latenz), Prozentualer Paketverlust, Frequenz der Tunnel-Neuvermittlung, Durchsatz rein/raus, Anzahl aktiver Sitzungen, HTTPS-Antwortzeit für interne Anwendungen, Tage bis Ablauf des TLS-Zertifikats für interne Zertifikate und DNS-Auflösungszeit gegen interne Resolver. Dotcom-Monitor erfasst all diese nativ über ServerView (Erreichbarkeit), MetricsView (SNMP) und BrowserView (Anwendungsebene).

Die Preispolitik von Dotcom-Monitor basiert auf der Anzahl der überwachten Ziele und der Prüfungsfrequenz, nicht auf der Anzahl der VPN-Tunnel, Private Agents oder Überwachungsstandorte. Private Agents sind in allen kostenpflichtigen Plänen unbegrenzt, sodass Sie pro Standort, VPC oder Cloud-Region einen Agenten ohne zusätzliche Kosten einsetzen können. Es gibt eine 30-tägige Vollzugriffs-Testversion ohne Kreditkarte, mit der Sie echte Tunnel und interne Anwendungen End-to-End überwachen können, bevor Sie sich verpflichten. Für ein genaues Angebot passend zu Ihrem Tunnel- und App-Inventar fordern Sie eine Demo an.

Sie können teilweise Abdeckung erreichen, aber keine End-to-End-Abdeckung. SNMP zeigt Ihnen, was das VPN-Gateway für den aktuellen Status hält (Tunnel aktiv, Sessions aktiv, Bytes transferiert) — was wertvoll, aber irreführend sein kann, wenn das Gerät gesund ist, während Pakete downstream verschluckt werden. Nagios und andere selbst gehostete Tools können ICMP- und HTTP-Checks durchführen, erfordern jedoch, dass Sie die Monitoring-Infrastruktur selbst aufbauen, hosten, pflegen und skalieren, und beinhalten selten Browser-Level- oder mehrstufige Transaktionstests. Dotcom-Monitor kombiniert SNMP, ICMP, TCP, HTTPS und Real-Browser-Checks in einer SaaS-Plattform mit über 30 externen Überwachungsstandorten plus unbegrenzten Private Agents — so sehen Sie sowohl, was das Gateway meldet, als auch was Nutzer wirklich erleben.

Ein Private Agent ist ein leichtgewichtiger Windows- oder Linux-Dienst, der innerhalb Ihres vertrauenswürdigen Netzwerks läuft. Er empfängt Überwachungsaufträge von der Dotcom-Monitor-Plattform über eine einzige ausgehende HTTPS-Verbindung, führt sie von innen der Perimeter aus aus und streamt die Ergebnisse zurück. Sie benötigen einen, wann immer das Ziel vom öffentlichen Internet aus nicht erreichbar ist — das umfasst die meisten Site-to-Site-VPN-Endpunkte und praktisch jede client-VPN-geschützte Anwendung. Keine eingehenden Firewall-Regeln erforderlich.

Das zuverlässigster Muster ist, auf jeder Seite des Tunnels einen Private Agent zu platzieren (oder zumindest auf einer Seite mit einer bekannten Test-IP auf der gegenüberliegenden Seite) und ServerView-Aufgaben zu konfigurieren: ICMP-Ping zum entfernten LAN, TCP-Port-Checks zu einem Dienst im entfernten Subnetz, Traceroute zur Bestätigung, dass der Pfad den Tunnel durchläuft, und SNMP-Abfragen an die Firewall / den VPN-Konzentrator mittels MetricsView. Fügen Sie einen HTTPS-Check gegen einen bekannten internen Endpunkt auf der gegenüberliegenden Seite als funktionalen End-to-End-Test hinzu. Alarmieren Sie, wenn einer dieser Checks ausfällt oder wenn Latenz/Verlust über Ihrem Baseline liegt.

Setzen Sie einen Private Agent auf einem Host ein, der entweder im Netzwerk sitzt, in das das Client-VPN routet, oder selbst eine persistente Client-VPN-Sitzung hält (zum Beispiel eine Linux-VM, die OpenVPN oder WireGuard als Client ausführt). Der Agent führt HTTPS-, BrowserView-, UserView- und ServerView-Aufgaben gegen die interne Anwendung genau so aus, wie es ein entfernter Benutzer sehen würde — inklusive SSO, MFA, Split-Horizon-DNS und internen SSL-Zertifikaten.

Ja. Dotcom-Monitor ist VPN-Technologie-agnostisch — es überwacht das Ergebnis des Tunnels, nicht die Kontrollebene des Tunnels. Es funktioniert mit IPsec (Site-to-Site, route-basiert, policy-basiert), GRE, DMVPN, MPLS mit IPsec, WireGuard, Tailscale und anderen ZTNA-Overlays, OpenVPN, Cisco AnyConnect, Palo Alto GlobalProtect, Fortinet FortiClient und allen großen Cloud-VPN-Gateways (AWS Site-to-Site, Azure VPN Gateway, Google Cloud VPN).

Ja — ICMP-Ping-Aufgaben in ServerView melden Round-Trip-Zeit, Jitter und prozentualen Paketverlust für jede durchgeführte Prüfung. Sie können auch höher aufgelöste Metriken (Tunnel-Sessions, Durchsatz, CPU) direkt von Ihrer Firewall oder Ihrem VPN-Konzentrator per SNMP mittels MetricsView abrufen. Beide werden in Dashboards visualisiert, alarmiert und sind über den XML Reporting Service für den Export zu Grafana oder Power BI verfügbar.

Dotcom-Monitor unterstützt beides. HTTPS-Monitore, die auf einem Private Agent laufen, validieren interne Zertifikate (CA-gestellt oder selbstsigniert, mit Root auf dem Agent-Host installiert) und alarmieren bei nahendem Ablaufdatum. DNS-Aufgaben können gezielt Ihre internen Resolver ansprechen, so dass Sie bestätigen können, dass ein interner Hostname vom VPN-Seite korrekt aufgelöst wird und Split-Horizon-DNS-Abweichungen zwischen externen und internen Antworten erkennen.

Nein — Private Agents sind in allen kostenpflichtigen Plänen unbegrenzt. Setzen Sie einen pro Standort, Rechenzentrum, VPC oder Cloud-Region entsprechend Ihrer Topologie ein. Die Preisgestaltung von Dotcom-Monitor basiert auf der Anzahl der laufenden Monitore, nicht der Anzahl der Agenten oder ihrer Standorte.

Auf den meisten Plattformen so oft wie alle 60 Sekunden und bei ServerView-Tunnelprüfungen sogar alle 1 Minute. Die Hochfrequenz-Überwachung ermöglicht eine Erkennung von Tunnelabbrüchen und Brownouts in unter einer Minute. Für weniger kritische Dienste können Sie Prüfungen alle 5, 15 oder 30 Minuten durchführen, um das Prüfkontingent zu schonen.

Jedes Gerät kann an eine oder mehrere Benachrichtigungsgruppen weiterleiten. Unterstützte Kanäle sind E-Mail, SMS, Sprachanruf, Slack, Microsoft Teams, PagerDuty, OpsGenie, ServiceNow, Jira und beliebige Webhooks. Benachrichtigungsgruppen unterstützen Rufbereitschaftsrotationen, Eskalationsrichtlinien, Ruhezeiten und Filterung — so wird beispielsweise bei einem instabilen Tunnel um 3 Uhr morgens nur die richtige Person alarmiert, nicht das ganze Team.

Ja. Jedes Objekt auf der Plattform – Geräte, Aufgaben, Gruppen, Zeitpläne, Benachrichtigungen, Standorte, Private Agents – ist über die Dotcom-Monitor Web API verwaltbar. Teams integrieren diese häufig in Terraform, Pulumi, Jenkins, GitHub Actions, Azure DevOps und GitLab CI, sodass Monitore für einen neuen Tunnel oder eine neue interne App sofort eingerichtet werden, sobald die Infrastruktur bereit ist.

Öffentliche Uptime-Prüfungen können nur sehen, was im öffentlichen Internet verfügbar ist. Sie erkennen nicht, wenn ein Site-to-Site-Tunnel abbricht, das Intranet langsam ist, ein internes Zertifikat abgelaufen ist oder ein SSO-Prozess bei einer VPN-geschützten App fehlerhaft ist. Dotcom-Monitor ist einzigartig darin, die Perspektive des öffentlichen Internets (30+ Überwachungsstandorte weltweit) mit der Insider-Perspektive (unbegrenzte Private Agents) in einer einzigen Plattform, einer einzigen Benutzeroberfläche und einer einzigen Berichtspipeline zu vereinen.

Die meisten Kunden sind von der Kontoerstellung bis zur ersten Benachrichtigung in unter einer Stunde einsatzbereit. Die Installation des Private Agent ist eine Standardinstallation als Windows-Dienst oder Linux-Paket. Die Konfiguration der Monitore erfolgt im UI oder über die REST API. Die Plattform ist vollständig SaaS – keine Serverbereitstellung, keine Backend-Wartung, keine Lizenzschlüsselverwaltung erforderlich.