Surveillance des tunnels VPN à l'aide d'Amazon CloudWatch

Vous pouvez surveiller les tunnels VPN à l'aide CloudWatch d'un système qui collecte et traite les données brutes du service VPN en indicateurs lisibles en temps quasi réel. Ces statistiques sont enregistrées pour une durée de 15 mois et, par conséquent, vous pouvez accéder aux informations historiques et acquérir un meilleur point de vue de la façon dont votre service ou application web s’exécute. Les données métriques du VPN sont automatiquement envoyées CloudWatch dès qu'elles sont disponibles.

Pour plus d'informations, consultez le guide de CloudWatch l'utilisateur Amazon.

Métriques et dimensions VPN

Les CloudWatch statistiques suivantes sont disponibles pour vos connexions VPN de site à site.

Métrique	Description
TunnelState	État des tunnels. Pour les VPN statiques, 0 indique DOWN et 1 indique UP. Pour les VPN BGP, 1 indique ESTABLISHED et 0 est utilisé pour tous les autres états. Pour les deux types de VPN, des valeurs comprises entre 0 et 1 indiquent qu'au moins un tunnel n'est pas à l'état « UP ». Unités : valeur fractionnelle comprise entre 0 et 1
TunnelDataIn †	Les octets reçus du AWS côté de la connexion via le tunnel VPN depuis une passerelle client. Chaque point de données de métriques représente le nombre d'octets reçus après le point de données précédent. Utilisez la statistique Somme pour afficher le nombre total d'octets reçus pendant la période. Cette métrique comptabilise les données après déchiffrement. Unités : octets
TunnelDataOut †	Les octets envoyés depuis le AWS côté de la connexion via le tunnel VPN vers la passerelle client. Chaque point de données de métriques représente le nombre d'octets envoyés après le point de données précédent. Utilisez la statistique Somme pour afficher le nombre total d'octets envoyés pendant la période. Cette métrique comptabilise les données avant chiffrement. Unités : octets

† Ces métriques peuvent signaler l'utilisation du réseau même lorsque le tunnel est hors service. Cela est dû aux contrôles de statut périodiques effectués sur le tunnel et aux requêtes ARP et BGP en arrière-plan.

Pour filtrer les données de métriques, utilisez les dimensions suivantes.

Dimension	Description
VpnId	Filtre les données des métriques en fonction de l'ID de la connexion Site-to-Site VPN.
TunnelIpAddress	Permet de filtrer les données en fonction de l'adresse IP du tunnel de la passerelle réseau privé virtuel.

Afficher les CloudWatch métriques du VPN

Lorsque vous créez une connexion VPN Site-to-Site, le service VPN envoie des statistiques concernant votre connexion VPN dès qu'elles sont CloudWatch disponibles. Vous pouvez consulter les métriques de votre connexion VPN comme suit.

Pour afficher les métriques à l'aide de la CloudWatch console

Les métriques sont d'abord regroupées par espace de noms de service, puis par les différentes combinaisons de dimension au sein de chaque espace de noms.

1. Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

2. Dans le panneau de navigation, sélectionnez ‎Métriques.

3. Sous All metrics, choisissez l'espace de nom de métrique VPN.

4. Sélectionnez la dimension de métrique pour afficher les métriques (par exemple, Métriques de tunnel VPN).

Note

L'espace de noms VPN n'apparaîtra pas dans la CloudWatch console tant qu'une connexion VPN Site-to-Site n'aura pas été créée dans AWS la région que vous consultez.

Pour consulter les statistiques à l'aide du AWS CLI

À partir d'une invite de commande, utilisez la commande suivante :

aws cloudwatch list-metrics --namespace "AWS/VPN"

Création d' CloudWatch alarmes pour surveiller les tunnels VPN

Vous pouvez créer une CloudWatch alarme qui envoie un message Amazon SNS lorsque l'alarme change d'état. Une alarme surveille une seule métrique sur une durée définie et envoie une notification à une rubrique Amazon SNS en fonction de la valeur de la métrique par rapport à un seuil donné sur un certain nombre de durées.

Par exemple, vous pouvez créer une alarme qui surveille l'état d'un tunnel VPN unique, puis qui envoie une notification lorsque l'état du tunnel est DOWN pendant 3 périodes de 15 minutes consécutives.

Pour créer une alarme pour l'état d'un tunnel unique

1. Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

2. Dans le panneau de navigation, développez Alarmes, puis choisissez Toutes les alarmes.

3. Choisissez Créer une alarme, puis Sélectionner une métrique.

4. Choisissez VPN, puis Métriques de tunnel VPN.

5. Sélectionnez l'adresse IP du tunnel souhaité, sur la même ligne que la TunnelStatemétrique. Choisissez Select metric (Sélectionner une métrique).

6. Pour chaque fois que TunnelState c'est... , sélectionnez Inférieur, puis entrez « 1 » dans le champ de saisie situé sous... .

7. Sous Configuration supplémentaire, définissez Points de données pour le déclenchement d'alarme sur « 3 sur 3 ».

8. Choisissez Suivant.

9. Sous Envoyer une notification à la rubrique SNS suivante, sélectionnez une liste de notifications existante ou créez-en une.

10. Choisissez Suivant.

11. Saisissez un nom pour votre alarme. Choisissez Suivant.

12. Vérifiez les paramètres de votre alarme, puis choisissez Create alarm (Créer une alarme).

Vous pouvez créer une alarme qui surveille l'état de la connexion Site-to-Site VPN. Par exemple, vous pouvez créer une alarme qui envoie une notification lorsque l'état d'un ou des deux tunnels est DOWN (arrêt) pendant une période de 5 minutes consécutives.

Pour créer une alarme pour l'état de connexion Site-to-Site VPN

1. Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

2. Dans le panneau de navigation, développez Alarmes, puis choisissez Toutes les alarmes.

3. Choisissez Créer une alarme, puis Sélectionner une métrique.

4. Choisissez VPN, puis choisissez VPN Connection Metrics (Métriques de connexion VPN).

5. Sélectionnez votre connexion VPN de site à site et la métrique. TunnelState Choisissez Sélectionner une métrique.

6. Pour Statistic (Statistiques), spécifiez Maximum.

   Si vous avez configuré votre connexion Site-to-Site VPN de manière à ce que les deux tunnels soient actifs, vous pouvez aussi spécifier une statistique Minimum pour envoyer une notification lorsqu'au moins un tunnel ne fonctionne plus.

7. Pour Whenever (Chaque fois), choisissez Lower/Equal (Inférieur à/Égal à) (<=) et entrez 0 (ou 0,5 quand un tunnel au moins est arrêté). Choisissez Suivant.

8. Sous Select an SNS topic (Sélectionner une rubrique SNS), sélectionnez une liste de notifications existante ou choisissez New list (Nouvelle liste). Choisissez Suivant.

9. Saisissez un nom et une description pour votre alarme. Choisissez Suivant.

10. Vérifiez les paramètres de votre alarme, puis choisissez Create alarm (Créer une alarme).

Vous pouvez aussi créer des alarmes qui surveille la quantité de trafic entrant dans le tunnel VPN ou en sortant. Par exemple, l'alarme suivante surveille la quantité de trafic entrant dans le tunnel VPN à partir de votre réseau et envoie une notification lorsque le nombre d'octets atteint un seuil de 5 000 000 pendant une période de 15 minutes.

Pour créer une alarme pour votre trafic réseau entrant

1. Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

2. Dans le panneau de navigation, développez Alarmes, puis choisissez Toutes les alarmes.

3. Choisissez Créer une alarme, puis Sélectionner une métrique.

4. Choisissez VPN, puis choisissez VPN Tunnel Metrics (Métriques de tunnel VPN).

5. Sélectionnez l'adresse IP du tunnel VPN et la TunnelDataInmétrique. Choisissez Sélectionner une métrique.

6. Pour Statistic (Statistiques), spécifiez Sum (Somme).

7. Pour Period (Période), sélectionnez 15 minutes.

8. Pour Whenever (Chaque fois), choisissez Greater/Equal (Supérieur à/Égal à) (>=) et entrez 5000000. Choisissez Suivant.

9. Sous Select an SNS topic (Sélectionner une rubrique SNS), sélectionnez une liste de notifications existante ou choisissez New list (Nouvelle liste). Choisissez Suivant.

10. Saisissez un nom et une description pour votre alarme. Choisissez Suivant.

11. Vérifiez les paramètres de votre alarme, puis choisissez Create alarm (Créer une alarme).

Par exemple, l'alarme suivante surveille la quantité de trafic entrant dans le tunnel VPN à partir de votre réseau et envoie une notification lorsque le nombre d'octets atteint un seuil de 1 000 000 pendant une période de 15 minutes.

Pour créer une alarme pour votre trafic réseau sortant

1. Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

2. Dans le panneau de navigation, développez Alarmes, puis choisissez Toutes les alarmes.

3. Choisissez Créer une alarme, puis Sélectionner une métrique.

4. Choisissez VPN, puis choisissez VPN Tunnel Metrics (Métriques de tunnel VPN).

5. Sélectionnez l'adresse IP du tunnel VPN et la TunnelDataOutmétrique. Choisissez Sélectionner une métrique.

6. Pour Statistic (Statistiques), spécifiez Sum (Somme).

7. Pour Period (Période), sélectionnez 15 minutes.

8. Pour Whenever (Chaque fois), choisissez Lower/Equal (Inférieur à/Égal à) (<=) et entrez 1000000. Choisissez Suivant.

9. Sous Select an SNS topic (Sélectionner une rubrique SNS), sélectionnez une liste de notifications existante ou choisissez New list (Nouvelle liste). Choisissez Suivant.

10. Saisissez un nom et une description pour votre alarme. Choisissez Suivant.

11. Vérifiez les paramètres de votre alarme, puis choisissez Create alarm (Créer une alarme).

Pour d'autres exemples de création d'alarmes, consultez la section Création d' CloudWatch alarmes Amazon dans le guide de CloudWatch l'utilisateur Amazon.