VPN 监控： 站点到站点隧道和客户端 VPN 应用程序

VPN监控是对虚拟专用网络隧道及依赖其的应用进行持续、合成的测试。它定期回答三个问题：隧道是否连接？速度是否足够快？用户和地点是否能真正访问其背后的服务？现代VPN监控结合了ICMP和TCP探测以检测隧道可达性，SNMP轮询防火墙和VPN集中器的指标，以及针对内部应用的HTTPS / 浏览器级检查——所有操作均通过网络内部的私有代理执行，或由分布式监控地点通过公网执行。

因为VPN几乎总是在远程工作、分支连接和混合云流量的关键路径上，而且它们会静默失败。站点到站点的隧道可以在防火墙UI中显示为“已连接”，但实际上丢包、频繁重新密钥或通过劣质ISP路由。客户端VPN可以成功认证用户，而其背后的内网应用返回500错误。没有专门的VPN监控，这些故障只有在用户抱怨时才会被发现。持续的合成VPN监控能在几秒钟内揭示隧道掉线、延迟回退、证书过期、分割视域DNS漂移和内部应用故障——在它们变成支持工单或SLA违约之前。

监控VPN连接的方法是在隧道的每一侧放置一个监控探针——或者至少在一侧放置探针，并在另一侧放置已知的测试目标——运行端到端的定时检查。使用Dotcom-Monitor：(1) 在网络内部安装一个Private Agent（Windows或Linux，约5分钟），(2) 创建ServerView任务，进行ICMP Ping、TCP端口检查和跨隧道的traceroute，(3) 添加针对内部应用的HTTPS或BrowserView任务以验证端到端可用性，(4) 可选地添加对VPN集中器的MetricsView SNMP轮询，获取隧道计数器和吞吐量。结果通过单个出站HTTPS连接返回——不需要入站防火墙规则。

结合四层监控：可达性（每60秒ICMP Ping远端局域网的稳定主机），路径验证（traceroute确认路由经过隧道而非备选互联网路径），服务检查（TCP端口或HTTPS探测远程子网中的真实服务），以及设备遥测（通过SNMP轮询VPN网关，获取隧道状态、入/出包数、CPU和会话数）。针对硬失败和趋势阈值都要报警——隧道延迟24小时内翻倍的状况与完全掉线一样需要处理。Dotcom-Monitor通过一个Agent、一个界面和一套警报同时提供这四种功能。

与实际用户影响相关的指标包括：隧道上线/下线状态、往返延迟(毫秒)、抖动（延迟波动）、丢包比例、隧道重新密钥频率、吞吐量（入/出）、活跃会话数、针对内部应用的HTTPS响应时间、内部证书的TLS证书到期天数和针对内部解析器的DNS解析时间。Dotcom-Monitor通过ServerView（可达性）、MetricsView（SNMP）和BrowserView（应用级）原生捕获所有这些指标。

Dotcom-Monitor的定价基于监控目标数量和检查频率，而非VPN隧道数量、Private Agent数量或监控地点数量。所有付费计划均支持无限制的Private Agent，因此可以按站点、VPC或云区域部署，无需额外费用。提供30天全功能免费试用，无需信用卡，可在承诺前监控真实的隧道和内部应用的端到端情况。需要针对你的隧道和应用清单获取精准报价，请申请演示。

可以实现部分监控，但无法实现端到端监控。SNMP告诉你VPN网关认为正在发生的情况（如隧道状态、活跃会话、传输字节数），虽然有价值，但在设备健康且数据包在下游被丢弃时可能具有误导性。Nagios和其他自托管工具可以运行ICMP和HTTP检查，但需要自行构建、托管、维护和扩展监控基础设施，且很少包含浏览器级或多步骤事务测试。Dotcom-Monitor结合SNMP、ICMP、TCP、HTTPS和真实浏览器检查，集于一体的SaaS平台，拥有30多个外部监控点及无限Private Agents——让你既能看到网关报告的内容，也能体验用户实际感受。

Private Agent是一个轻量级的Windows或Linux服务，运行在你可信的网络内部。它通过单个出站HTTPS连接接收来自Dotcom-Monitor平台的监控任务，内网执行任务并将结果流回。只要目标无法从公网访问，就需要一个Private Agent——这覆盖了大多数站点对站点VPN端点及几乎所有受客户端VPN保护的应用。无需入站防火墙规则。

最可靠的方法是在隧道两侧各放置一个Private Agent（或者至少一侧放置，远端有已知测试IP），并配置ServerView任务：ICMP Ping到远端局域网，TCP端口检查远程子网中的服务，traceroute确认路径确实通过隧道，以及通过MetricsView对防火墙/VPN集中器进行SNMP轮询。再加一个针对远端已知内部端点的HTTPS检查，作为端到端功能性测试。当任一检测失败或延迟/丢包高于基线时发出警报。

在客户端VPN所路由进入的网络内部的主机上部署Private Agent，或者部署在持有持久客户端VPN会话的主机上（例如，运行OpenVPN或WireGuard作为客户端的Linux虚拟机）。该Agent将如同远程用户一样执行HTTPS、BrowserView、UserView和ServerView任务，涵盖单点登录、MFA、分割视域DNS和内部SSL证书。

支持。Dotcom-Monitor对VPN技术无偏好——它监控隧道的结果，而非隧道的控制面。支持IPsec（站点对站点、基于路由、基于策略）、GRE、DMVPN、带IPsec的MPLS、WireGuard、Tailscale及其他ZTNA覆盖网络、OpenVPN、Cisco AnyConnect、Palo Alto GlobalProtect、Fortinet FortiClient，以及主要云VPN网关（AWS站点对站点、Azure VPN Gateway、Google Cloud VPN）。

能——ServerView中ICMP Ping任务报告每次检测的往返时间、抖动和丢包率。您还可以通过MetricsView利用SNMP直接从防火墙或VPN集中器提取更高精度的指标（隧道会话数、吞吐量、CPU）。这些数据会在仪表盘中可视化、触发告警，并通过XML Reporting Service导出至Grafana或Power BI。

Dotcom-Monitor都能处理。在Private Agent上运行的HTTPS监控会验证内部证书（CA签发或自签，根证书安装在Agent主机上），并在证书到期天数即将到时发出警报。DNS任务可以专门针对内部解析器，确保从VPN端正确解析内部主机名，并发现外部与内部答案之间的分割视域漂移。

没有——所有付费计划均支持无限Private Agents。可根据你的拓扑结构在每个站点、数据中心、VPC或云区域部署。Dotcom-Monitor的定价基于你运行的监控数量，而非Agent数量或其部署地点。

在大多数平台上，频率可达每 60 秒 一次，ServerView 隧道检查则紧凑到 1 分钟。高频监控可实现亚分钟级别的隧道掉线和性能不稳定检测。对于不那么关键的服务，您可以每 5、15 或 30 分钟运行一次检查，以节省检查配额。

每个设备都可以路由到一个或多个警报组。支持的渠道包括电子邮件、短信、语音电话、Slack、Microsoft Teams、PagerDuty、OpsGenie、ServiceNow、Jira 和任意 webhook。警报组支持值班轮换、升级策略、静音时段和过滤—因此在凌晨 3 点隧道抖动时只会通知到合适的人，而不是整个团队。

可以。平台中的每个对象——设备、任务、组、计划、警报、地点、私有代理——都可以通过 Dotcom-Monitor Web API 管理。团队通常会将其接入 Terraform、Pulumi、Jenkins、GitHub Actions、Azure DevOps 和 GitLab CI，确保新隧道或内部应用的监控在基础设施上线的瞬间即被配置完成。

公共正常运行时间检查只能看到公共互联网内容。它们无法检测站点到站点隧道断开、内部网缓慢、内部证书过期，或 VPN 保护应用上的 SSO 流程故障。Dotcom-Monitor 独特地将公共互联网视角（全球 30+ 监控点）与内部视角（无限私有代理）集成于单一平台、单一用户界面和单一报告管道中。

大多数客户从创建账户到收到首次警报 不足一小时。安装私有代理是标准的 Windows 服务或 Linux 软件包安装。监控配置可通过 UI 或 REST API 完成。该平台完全是 SaaS——无需搭建服务器，无需维护后端，无需管理许可密钥。