Monitoreo VPN: Túneles Sitio a Sitio y Aplicaciones VPN para Cliente

El monitoreo de VPN es la prueba continua y sintética de túneles de redes privadas virtuales y las aplicaciones que dependen de ellos. Responde tres preguntas en un horario: ¿Está el túnel activo? ¿Es lo suficientemente rápido? ¿Y pueden los servicios detrás de él ser realmente alcanzados desde los usuarios y las ubicaciones que los necesitan? El monitoreo moderno de VPN combina sondeos ICMP y TCP para la accesibilidad del túnel, encuestas SNMP de métricas de firewall y concentradores VPN, y comprobaciones HTTPS / a nivel navegador contra aplicaciones internas — todo ejecutado desde dentro de la red por un Agente Privado, o desde ubicaciones de monitoreo distribuidas a través de internet público.

Dado que las VPN casi siempre están en la ruta crítica para el trabajo remoto, la conectividad de sucursales y el tráfico híbrido en la nube, y porque fallan en silencio. Un túnel sitio a sitio puede estar “activo” en la interfaz del firewall mientras pierde paquetes, cambia claves constantemente o enruta sobre un ISP degradado. Una VPN cliente puede autenticar usuarios con éxito mientras la aplicación intranet detrás devuelve errores 500. Sin monitoreo dedicado de VPN, estas fallas sólo se descubren cuando los usuarios se quejan. La monitorización sintética continua de VPN detecta caídas de túneles, regresiones de latencia, expiración de certificados, derivaciones de DNS split-horizon y caídas de aplicaciones internas en segundos, antes de que se conviertan en tickets de soporte o incumplimientos de SLA.

Se monitorea una conexión VPN colocando una sonda de monitoreo en cada lado del túnel, o al menos en un lado con un objetivo de prueba conocido en el otro, y ejecutando chequeos programados end-to-end. Con Dotcom-Monitor: (1) instala un Private Agent dentro de la red (Windows o Linux, ~5 minutos), (2) crea tareas ServerView para ping ICMP, chequeos de puerto TCP y traceroute a través del túnel, (3) añade tareas HTTPS o BrowserView contra una aplicación interna para validar la usabilidad end-to-end, y (4) opcionalmente añade polling SNMP con MetricsView contra el concentrador VPN para contadores de túnel y ancho de banda. Los resultados se envían a través de una única conexión HTTPS saliente, sin reglas entrantes en el firewall requeridas.

Combina cuatro capas: alcance (ping ICMP a un host estable en la LAN del otro lado cada 60 segundos), validación de ruta (traceroute que confirma que la ruta atraviesa el túnel y no un camino alternativo por internet), chequeos de servicio (puertos TCP o sondas HTTPS contra un servicio real en la subred remota), y telemetría del dispositivo (polling SNMP del gateway VPN para estado del túnel, paquetes entrantes/salientes, CPU y cantidad de sesiones). Alerta tanto por fallas graves como por umbrales de tendencia: un túnel cuya latencia se ha duplicado en 24 horas es tan relevante como uno que cayó. Dotcom-Monitor ofrece las cuatro desde un solo agente, una sola interfaz y un conjunto de alertas.

Las métricas que se correlacionan con el impacto real al usuario son: estado arriba/abajo del túnel, latencia ida y vuelta (ms), jitter (variación en la latencia), porcentaje de pérdida de paquetes, frecuencia de cambio de clave del túnel, ancho de banda de entrada/salida, cantidad de sesiones activas, tiempo de respuesta HTTPS para aplicaciones internas, días para expiración del certificado TLS para certificados internos, y tiempo de resolución DNS contra resolutores internos. Dotcom-Monitor captura todo esto nativamente mediante ServerView (alcance), MetricsView (SNMP) y BrowserView (nivel aplicación).

La tarifa de Dotcom-Monitor se basa en el número de objetivos monitoreados y la frecuencia de chequeo, no en el número de túneles VPN, Private Agents o ubicaciones de monitoreo. Los Private Agents son ilimitados en todos los planes pagos, por lo que puedes desplegar uno por sitio, VPC o región en la nube sin costo adicional. Hay una prueba gratuita de 30 días con acceso completo sin necesidad de tarjeta de crédito, que te permite monitorear túneles reales y aplicaciones internas end-to-end antes de comprometerte. Para una cotización precisa según tus túneles e inventario de aplicaciones, solicita una demo.

Puedes obtener cobertura parcial, pero no cobertura end-to-end. SNMP te dice lo que el gateway VPN cree que está sucediendo (túnel activo, sesiones activas, bytes transferidos), lo cual es valioso pero engañoso cuando el dispositivo está sano pero los paquetes se pierden después. Nagios y otras herramientas auto hospedadas pueden correr chequeos ICMP y HTTP, pero requieren que construyas, alojes, actualices y escales la infraestructura de monitoreo tú mismo, y raramente incluyen pruebas a nivel navegador o de transacciones multi-paso. Dotcom-Monitor combina SNMP, ICMP, TCP, HTTPS y chequeos con navegador real en una plataforma SaaS, con más de 30 ubicaciones externas de monitoreo más Private Agents ilimitados, para que veas tanto lo que reporta el gateway como lo que realmente experimentan los usuarios.

Un Private Agent es un servicio ligero para Windows o Linux que corre dentro de tu red confiable. Recibe trabajos de monitoreo desde la plataforma de Dotcom-Monitor por una única conexión HTTPS saliente, los ejecuta desde dentro del perímetro y envía los resultados. Necesitas uno siempre que el objetivo no sea accesible desde internet público, lo que cubre la mayoría de los extremos de VPN sitio a sitio y virtualmente todas las aplicaciones protegidas por VPN cliente. No se requieren reglas de firewall entrantes.

El patrón más confiable es colocar un Private Agent en cada lado del túnel (o al menos en uno con una IP de prueba conocida en el lado remoto) y configurar tareas ServerView: Ping ICMP a la LAN del lado remoto, chequeos de puerto TCP a un servicio en la subred remota, traceroute para confirmar que la ruta atraviesa el túnel y polling SNMP en el firewall o concentrador VPN a través de MetricsView. Añade un chequeo HTTPS contra un endpoint interno conocido en el lado remoto como prueba funcional end-to-end. Alerta cuando cualquiera falle o cuando latencia/pérdida superen tu línea base.

Despliega un Private Agent en un host que esté dentro de la red a la que la VPN cliente enruta, o que mantenga una sesión persistente de VPN cliente (por ejemplo, una VM Linux con OpenVPN o WireGuard como cliente). El agente ejecutará tareas HTTPS, BrowserView, UserView y ServerView contra la aplicación interna exactamente como la vería un usuario remoto, incluyendo SSO, MFA, DNS split-horizon y certificados SSL internos.

Sí. Dotcom-Monitor es agnóstico a la tecnología VPN — monitorea el resultado del túnel, no el plano de control del túnel. Funciona con IPsec (sitio a sitio, basado en rutas o políticas), GRE, DMVPN, MPLS con IPsec, WireGuard, Tailscale y otros overlays ZTNA, OpenVPN, Cisco AnyConnect, Palo Alto GlobalProtect, Fortinet FortiClient y todos los principales gateways VPN en la nube (AWS Site-to-Site, Azure VPN Gateway, Google Cloud VPN).

Sí — las tareas de Ping ICMP en ServerView reportan tiempo de ida y vuelta, jitter y porcentaje de pérdida de paquetes para cada chequeo realizado. También puedes extraer métricas de mayor fidelidad (conteo de sesiones de túnel, ancho de banda, CPU) directamente desde tu firewall o concentrador VPN vía SNMP usando MetricsView. Ambas se visualizan en dashboards, generan alertas y están disponibles a través del XML Reporting Service para exportar a Grafana o Power BI.

Dotcom-Monitor maneja ambos. Los monitores HTTPS que corren en un Private Agent validarán certificados internos (emitidos por CA o auto-firmados, con la raíz instalada en el host agente) y alertarán sobre días para expiración. Las tareas DNS pueden apuntar específicamente a tus resolutores internos, para confirmar que un hostname interno resuelve correctamente desde el lado VPN y detectar desviaciones split-horizon entre respuestas externas e internas.

No, los Private Agents son ilimitados en todos los planes pagos. Despliega uno por sitio, centro de datos, VPC o región en la nube según requiera tu topología. El precio de Dotcom-Monitor se basa en el número de monitores que ejecutes, no en el número de agentes o ubicaciones desde donde los ejecutas.

Tan a menudo como cada 60 segundos en la mayoría de las plataformas, y tan ajustado como 1 minuto para las comprobaciones de túnel ServerView. La monitorización de alta frecuencia te brinda detección en menos de un minuto de caídas y bajones del túnel. Para servicios menos críticos puedes hacer comprobaciones cada 5, 15 o 30 minutos para conservar la cuota de chequeos.

Cada dispositivo puede enrutar a uno o más grupos de alerta. Los canales soportados incluyen correo electrónico, SMS, llamada de voz, Slack, Microsoft Teams, PagerDuty, OpsGenie, ServiceNow, Jira y webhooks arbitrarios. Los grupos de alerta soportan rotación de guardia, políticas de escalamiento, horas de silencio y filtrado; por lo que un túnel intermitente a las 3 AM alerta a la persona correcta, no a todo el equipo.

Sí. Cada objeto en la plataforma — dispositivos, tareas, grupos, horarios, alertas, ubicaciones, Agentes Privados — es gestionable mediante la API Web de Dotcom-Monitor. Los equipos comúnmente la conectan con Terraform, Pulumi, Jenkins, GitHub Actions, Azure DevOps y GitLab CI para que se provisionen monitores para un túnel nuevo o aplicación interna en el momento en que se provisiona la infraestructura.

Las comprobaciones de disponibilidad pública solo pueden ver lo que está en internet público. No pueden ver un túnel sitio a sitio caído, una intranet lenta, un certificado interno expirado o un flujo SSO roto en una aplicación protegida por VPN. Dotcom-Monitor es único al combinar la perspectiva de internet público (más de 30 ubicaciones de monitorización en todo el mundo) con la perspectiva interna (Agentes Privados ilimitados) en una sola plataforma, una sola interfaz y una sola canalización de informes.

La mayoría de los clientes pasan de la creación de cuenta a la primera alerta en menos de una hora. Instalar el Agente Privado es una instalación estándar de servicio Windows o paquete Linux. Configurar monitores se hace en la interfaz o vía la API REST. La plataforma es completamente SaaS — no hay servidores que levantar, ni backend que mantener, ni llaves de licencia que conciliar.