Une problématique classique dans AWS concerne la mesure de flux et de latence réseau lors de la communication avec des entités situées à l’extérieur du cloud. Et notamment lors de connexions utilisant un VPN.

AWS fournit de nombreux outils dans le but de nous aider à optimiser la supervision de nos déploiements dans son cloud.
Certains de ces outils sont disponibles sous forme d’un template d’ec2 installé par un « document » du Service System Manager.
Pour notre problématique, une solution existante est décrite dans cet article de blog https://aws.amazon.com/fr/premiumsupport/knowledge-center/vpc-packet-loss-latency-gateway/

Cependant, l’installation de cet outil via un « document », comme décrit dans l’article ci-dessus, est trop complexe à mon goût.
J’ai donc pris le parti de l’installer une fois, regarder comment AWS « s’y prend » et réaliser la même chose mais beaucoup plus simplement.

Principe

Une ec2 de type t3.nano envoie des pings toutes les minutes à un système situé à l’extérieur du cloud.
Dans notre cas, un serveur Windows situé dans un datacenter relié au cloud AWS avec un VPN.

Cette ec2 de type t3.nano est créée avec un user_data pouvant être ré-exécuté à chaque redémarrage de l’ec2 (ce n’est pas le comportement par défaut).
Ce champ user_data contient :

• la création d’un script shell contenant la commande ping utilisée pour tester la connexion. Le système distant doit être autorisé à répondre au ping envoyé par le script shell.
• La mise en crontab pour l’exécution de ce script shell toutes les minutes.
• L’installation d’un agent CloudWatch.
• la création d’un fichier de configuration pour que l’agent CloudWatch remonte les informations récoltées au service de supervision CloudWatch.

Installation

1. Créer une ec2 pouvant envoyer des pings à l’entité distante.
2. Ajouter dans la zone user_data le script contenu dans l’annexe ci-dessous.
3. Affecter un rôle à l’ec2 avec la policy CloudWatchAgentServerPolicy permettant à l’agent SSM de communiquer avec l’API correspondante.
4. Une fois l’ec2 lancée, un custom namespace, dont le nom est défini dans le script user_data est créé automatiquement dans CloudWatch. Des dashboards sont créés dans Cloudwatch à partir des données remontées depuis l’agent SSM de l’ec2 dans le namespace.

Résultat

Il vous reste à créer un dashboard dans CloudWatch pour visualiser les données remontées.

Annexe

Le script ci-dessous est à copier dans le champ user_data de l’ec2.

Deux paramètres sont à modifier dans le script pour l’adapter :

• ADRESSE_VPN dans la crontab : adresse du serveur à « pinguer »
• « log_group_name » dans le fichier .json de paramétrage de l’agent SSM : custom namespaces CloudWatch qui recevra les points de mesure.

Content-Type: multipart/mixed; boundary="//"
MIME-Version: 1.0
--//
Content-Type: text/cloud-config; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
Content-Disposition: attachment; filename="cloud-config.txt"
#cloud-config
cloud_final_modules:
- [scripts-user, always]
--//
Content-Type: text/x-shellscript; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
Content-Disposition: attachment; filename="userdata.txt"

#!/bin/bash
###########
# installation de l'envoi des metriques VPN vers cloudwatch
yum install -y amazon-cloudwatch-agent

#####
echo '#!/bin/bash
ping -s 56 -c 30 $1 | sed -e "1,$ s/^/ /" | sed "s/%//g" | tail -n 3 | sed "s#/# #g" >> /home/ec2-user/logs/ping64.$(date +\%Y\%m\%d\%H)' > /home/ec2-user/ping64.sh
###########
echo '{
"agent": {
"run_as_user": "root"
},
"logs": {
"logs_collected": {
"files": {
"collect_list": [
{
"file_path": "/home/ec2-user/logs/ping64.*",
"log_group_name": "/flux-vpn",
"log_stream_name": "ping64",
"auto_removal":true
}
]
}
}
}
}' > /home/ec2-user/config.json
###########
echo 'ADRESSE_VPN="192.168.3.1"
* * * * * /home/ec2-user/ping64.sh $ADRESSE_VPN
'> /home/ec2-user/crontab.txt
crontab -u ec2-user /home/ec2-user/crontab.txt
mkdir /home/ec2-user/logs 2>/dev/null
chmod u+x /home/ec2-user/*.sh
chown ec2-user:ec2-user /home/ec2-user/*
###########
/opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-agent-ctl -a fetch-config -m ec2 -c file:/home/ec2-user/config.json -s