VPN-Überwachung: Site-to-Site-Tunnel und Client-VPN-Anwendungen

VPN-Überwachung ist das kontinuierliche, synthetische Testen von Virtual Private Network-Tunneln und der darauf angewiesenen Anwendungen. Sie beantwortet drei Fragen nach einem Zeitplan: Ist der Tunnel aktiv? Ist er schnell genug? Und sind die dahinterliegenden Dienste für die Benutzer und Standorte, die sie benötigen, tatsächlich erreichbar? Moderne VPN-Überwachung kombiniert ICMP- und TCP-Probes zur Erreichbarkeit des Tunnels, SNMP-Abfragen der Firewall- und VPN-Konzentrator-Metriken sowie HTTPS- / Browser-Checks gegen interne Anwendungen – alles ausgeführt von einem Private Agent innerhalb des Netzwerks oder von verteilten Überwachungsstandorten über das öffentliche Internet.

Weil VPNs nahezu immer auf dem kritischen Pfad für Remote-Arbeit, Filialverbindung und Hybrid-Cloud-Verkehr liegen – und weil sie stillschweigend ausfallen. Ein Site-to-Site-Tunnel kann in der Firewall-Benutzeroberfläche als „aktiv“ angezeigt werden, obwohl Pakete verloren gehen, ständig neu verschlüsselt wird oder über einen verschlechterten ISP geleitet wird. Ein Client-VPN kann Benutzer erfolgreich authentifizieren, während die dahinterliegende Intranet-Anwendung 500er Fehler zurückgibt. Ohne dedizierte VPN-Überwachung werden diese Fehler erst entdeckt, wenn Benutzer sich beschweren. Kontinuierliche synthetische VPN-Überwachung erkennt Tunnelabbrüche, Latenzverschlechterungen, Zertifikatabläufe, Split-Horizon-DNS-Drift und Ausfälle interner Anwendungen in Sekunden — bevor sie zu Support-Tickets oder SLA-Verstößen werden.

Man überwacht eine VPN-Verbindung, indem man auf jeder Seite des Tunnels eine Überwachungsprobe platziert — oder zumindest auf einer Seite mit einem bekannten Testziel auf der anderen — und geplante End-to-End-Checks durchführt. Mit Dotcom-Monitor: (1) Installieren Sie einen Private Agent im Netzwerk (Windows oder Linux, ca. 5 Minuten), (2) erstellen Sie ServerView-Aufgaben für ICMP-Ping, TCP-Port-Checks und Traceroute über den Tunnel, (3) fügen Sie HTTPS- oder BrowserView-Aufgaben gegen eine interne Anwendung hinzu, um die End-to-End-Benutzbarkeit zu validieren, und (4) optional SNMP-Abfragen mit MetricsView gegen den VPN-Konzentrator für Tunnelzähler und Durchsatz. Die Ergebnisse werden über eine einzige ausgehende HTTPS-Verbindung gesendet – keine eingehenden Firewall-Regeln erforderlich.

Kombinieren Sie vier Ebenen: Erreichbarkeit (ICMP-Ping zu einem stabilen Host im entfernten LAN alle 60 Sekunden), Pfadvalidierung (Traceroute, um zu bestätigen, dass die Route durch den Tunnel und nicht über einen Fallback-Internetpfad verläuft), Service-Checks (TCP-Port- oder HTTPS-Probes gegen einen echten Dienst im entfernten Subnetz) und Gerätetelemetrie (SNMP-Abfragen des VPN-Gateways für Tunnelstatus, empfangene/gesendete Pakete, CPU und Sitzungsanzahl). Alarmieren Sie sowohl bei harten Ausfällen als auch bei Trend-Schwellenwerten — ein Tunnel, dessen Latenz sich innerhalb von 24 Stunden verdoppelt hat, ist genauso relevant wie ein ausgefallener Tunnel. Dotcom-Monitor bietet alle vier aus einem Agenten, einer UI und einem Satz von Alarmen.

Die Metriken, die mit echtem Benutzerimpact korrelieren, sind: Tunnel-Zustand (aktiv/inaktiv), Round-Trip-Latenz (ms), Jitter (Variation in der Latenz), Prozentualer Paketverlust, Häufigkeit der Tunnel-Neuverschlüsselung, Durchsatz Ein-/Ausgang, Anzahl aktiver Sitzungen, HTTPS-Antwortzeit für interne Anwendungen, TLS-Zertifikat Restlaufzeit für interne Zertifikate und DNS-Auflösungszeit bei internen Resolvern. Dotcom-Monitor erfasst all diese nativ durch ServerView (Erreichbarkeit), MetricsView (SNMP) und BrowserView (Anwendungsebene).

Die Preisgestaltung von Dotcom-Monitor basiert auf der Anzahl der überwachten Ziele und der Prüfungsfrequenz, nicht auf der Anzahl der VPN-Tunnel, Private Agents oder Überwachungsstandorte. Private Agents sind in allen kostenpflichtigen Plänen unbegrenzt, so dass Sie einen pro Standort, VPC oder Cloud-Region ohne zusätzliche Kosten bereitstellen können. Eine 30-tägige Vollzugriffs-Testversion ohne Kreditkarte ist verfügbar, mit der Sie reale Tunnel und interne Apps End-to-End überwachen können, bevor Sie sich festlegen. Für ein genaues Angebot, das an Ihren Tunnel- und App-Bestand gebunden ist, fordern Sie eine Demo an.

Sie können eine Teilabdeckung erhalten, aber keine End-to-End-Abdeckung. SNMP zeigt Ihnen, was das VPN-Gateway denkt, was passiert (Tunnel aktiv, Sitzungen aktiv, übertragene Bytes) — was wertvoll, aber irreführend ist, wenn das Gerät gesund ist, während Pakete downstream verloren gehen. Nagios und andere selbst gehostete Tools können ICMP- und HTTP-Checks durchführen, erfordern jedoch, dass Sie die Überwachungsinfrastruktur selbst aufbauen, hosten, patchen und skalieren, und sie beinhalten selten Browser-Level- oder mehrstufige Transaktionstests. Dotcom-Monitor kombiniert SNMP, ICMP, TCP, HTTPS und echte Browser-Checks in einer SaaS-Plattform, mit mehr als 30 externen Überwachungsstandorten sowie unbegrenzten Private Agents – so sehen Sie sowohl, was das Gateway meldet, als auch was Benutzer tatsächlich erleben.

Ein Private Agent ist ein leichter Windows- oder Linux-Dienst, der innerhalb Ihres vertrauenswürdigen Netzwerks läuft. Er erhält Überwachungsaufträge von der Dotcom-Monitor-Plattform über eine einzige ausgehende HTTPS-Verbindung, führt sie innerhalb des Perimeters aus und überträgt die Ergebnisse zurück. Sie benötigen ihn immer dann, wenn das Ziel vom öffentlichen Internet aus nicht erreichbar ist — was die meisten Site-to-Site-VPN-Endpunkte und praktisch jede client-VPN-geschützte Anwendung abdeckt. Keine eingehenden Firewall-Regeln erforderlich.

Das zuverlässigste Muster besteht darin, auf jeder Seite des Tunnels einen Private Agent zu platzieren (oder zumindest auf einer Seite mit einer bekannten Test-IP auf der entfernten Seite) und ServerView-Aufgaben zu konfigurieren: ICMP Ping zum entfernten LAN, TCP-Portprüfungen zu einem Dienst im entfernten Subnetz, Traceroute zur Bestätigung, dass der Pfad den Tunnel durchläuft, und SNMP-Abfragen an der Firewall / dem VPN-Konzentrator über MetricsView. Fügen Sie eine HTTPS-Prüfung gegen einen bekannten internen Endpunkt auf der entfernten Seite als funktionalen End-to-End-Test hinzu. Alarmieren Sie, wenn einer dieser Tests fehlschlägt oder wenn Latenz / Paketverlust über Ihrem Baseline-Wert liegen.

Setzen Sie einen Private Agent auf einem Host ein, der entweder im Netzwerk sitzt, in das das Client-VPN routet, oder eine persistente Client-VPN-Sitzung selbst hält (zum Beispiel eine Linux-VM, die OpenVPN oder WireGuard als Client ausführt). Der Agent führt HTTPS-, BrowserView-, UserView- und ServerView-Aufgaben gegen die interne Anwendung aus, genau wie ein entfernter Benutzer diese sehen würde – einschließlich SSO, MFA, Split-Horizon-DNS und interner SSL-Zertifikate.

Ja. Dotcom-Monitor ist VPN-Technologie-agnostisch – es überwacht das Ergebnis des Tunnels, nicht die Steuerungsebene des Tunnels. Es funktioniert mit IPsec (Site-to-Site, routenbasiert, politikbasiert), GRE, DMVPN, MPLS mit IPsec, WireGuard, Tailscale und anderen ZTNA-Overlays, OpenVPN, Cisco AnyConnect, Palo Alto GlobalProtect, Fortinet FortiClient und allen großen Cloud-VPN-Gateways (AWS Site-to-Site, Azure VPN Gateway, Google Cloud VPN).

Ja – ICMP-Ping-Aufgaben in ServerView melden Round-Trip-Zeit, Jitter und Paketverlustprozentsatz für jede ausgeführte Prüfung. Sie können auch höherwertige Metriken (Tunnel-Sitzungsanzahl, Durchsatz, CPU) direkt von Ihrer Firewall oder Ihrem VPN-Konzentrator per SNMP mit MetricsView abrufen. Beide werden in Dashboards visualisiert, melden Ereignisse und sind über den XML Reporting Service für den Export zu Grafana oder Power BI verfügbar.

Dotcom-Monitor unterstützt beides. HTTPS-Monitore, die auf einem Private Agent ausgeführt werden, validieren interne Zertifikate (von CA ausgestellt oder selbst signiert, mit der Root auf dem Agent-Host installiert) und alarmieren, wenn das Ablaufdatum naht. DNS-Aufgaben können gezielt Ihre internen Resolver ansprechen, sodass Sie bestätigen können, dass ein interner Hostname vom VPN aus korrekt aufgelöst wird, und Split-Horizon-Differenzen zwischen externen und internen Antworten erkennen.

Nein – Private Agents sind in allen kostenpflichtigen Tarifen unbegrenzt. Setzen Sie einen pro Standort, Rechenzentrum, VPC oder Cloud-Region ein, je nach Ihrer Topologie. Die Dotcom-Monitor-Preise basieren auf der Anzahl der Monitore, die Sie betreiben, nicht auf der Anzahl der Agents oder Standorte, von denen aus Sie diese betreiben.

So oft wie alle 60 Sekunden auf den meisten Plattformen, und so eng wie 1 Minute für ServerView-Tunnelprüfungen. Hochfrequente Überwachung bietet Ihnen eine Erkennung von Tunnelabbrüchen und Störungen in unter einer Minute. Für weniger kritische Dienste können Sie Prüfungen alle 5, 15 oder 30 Minuten ausführen, um das Prüfkontingent zu schonen.

Jedes Gerät kann an eine oder mehrere Alarmgruppen weiterleiten. Unterstützte Kanäle sind E-Mail, SMS, Sprachanruf, Slack, Microsoft Teams, PagerDuty, OpsGenie, ServiceNow, Jira und beliebige Webhooks. Alarmgruppen unterstützen Bereitschaftsdienste, Eskalationsrichtlinien, Ruhezeiten und Filter – sodass ein instabiler Tunnel um 3 Uhr morgens die richtige Person alarmiert, nicht das gesamte Team.

Ja. Jedes Objekt auf der Plattform – Geräte, Aufgaben, Gruppen, Zeitpläne, Alarme, Standorte, Private Agents – ist über die Dotcom-Monitor Web API verwaltbar. Teams binden sie häufig in Terraform, Pulumi, Jenkins, GitHub Actions, Azure DevOps und GitLab CI ein, sodass Monitore für einen neuen Tunnel oder eine interne Anwendung sofort provisioniert werden, sobald die Infrastruktur bereitsteht.

Öffentliche Uptime-Prüfungen sehen nur das, was im öffentlichen Internet ist. Sie können keinen ausgefallenen Site-to-Site-Tunnel, ein langsames Intranet, ein abgelaufenes internes Zertifikat oder einen defekten SSO-Flow bei einer VPN-geschützten Anwendung sehen. Dotcom-Monitor ist einzigartig darin, die Perspektive des öffentlichen Internets (30+ Monitoring-Standorte weltweit) mit der Insider-Perspektive (unbegrenzte Private Agents) in einer einzigen Plattform, einer einzigen Benutzeroberfläche und einer einzigen Reporting-Pipeline zu vereinen.

Die meisten Kunden gelangen von der Kontoerstellung bis zum ersten Alarm in unter einer Stunde. Die Installation des Private Agent ist eine Standard-Windows-Dienst- oder Linux-Paketinstallationen. Die Konfiguration der Monitore erfolgt über die UI oder die REST API. Die Plattform ist vollständig SaaS – keine Server müssen aufgesetzt, kein Backend gewartet und keine Lizenzschlüssel verwaltet werden.