SNI SSL Certificates の監視
このトピックでは、各ドメインを NetCrunch の個別の Node として扱うことで、1 つの IP アドレス上にある複数の SSL 証明書（SNI）を監視する方法と、Composite Status Node を使用してそれらのステータスを正確に集約する方法について説明します。
中核となる問題：1 つの IP アドレスに複数の証明書
最新の Web サーバー（IIS、NGINX、Apache など）では、Server Name Indication (SNI) を使用して、1 つの IP アドレス上で多数の Web サイトをホストすることがよくあります。
Web サーバーを単一の「Device Node」として（たとえば IP 192.168.1.50 によって）NetCrunch に追加した場合、通常はデフォルトの SSL 証明書しか監視できません。同じ IP 上でホストされている example.com、shop.example.com、blog.example.com の個別の証明書を簡単に監視することはできません。
NetCrunch の解決策：ドメインベースの Node
SNI 証明書を正しく監視するには、Node = Service Endpoint の原則に従う必要があります。
サーバーを 1 回だけ追加するのではなく、監視対象とする各ドメインに対して個別の Node を追加します。
仕組み
- Node A:
www.example.com（1.2.3.4に解決） - Node B:
shop.example.com（1.2.3.4に解決） - Node C:
blog.example.com（1.2.3.4に解決）
3 つすべてが同じ IP アドレスに解決される場合でも、NetCrunch はそれらを別個のエンティティとして扱います。「Node A」の SSL Sensor が接続すると、TLS ハンドシェイク中に www.example.com の証明書を明示的に要求します（SNI）。これにより、正しい証明書が検証されます。
構成ガイドライン
1. 1 つのドメイン = 1 つの Node
検証するドメイン名ごとに個別の Node を作成します。
- 複数のドメインに対する SNI チェックを、1 つの Node にまとめて追加しないでください。
- 命名： Node の名前にはドメイン名をそのまま使用します（例：
client-portal.com）。これにより、アラートでどの証明書の有効期限が切れるのかを簡単に識別できます。
2. SSL Certificate Sensor
このセンサーは、Node の名前を SNI パラメーターとして自動的に使用します。
- 接続： 解決された IP に接続しますが、Client Hello で Node Name を送信します。
- 検証： そのホスト名に対して返される特定の証明書（Issuer、Expiry、Revocation）を確認します。
- ポート： 同じドメインが複数のポート（例：
443と8443）を使用する場合は、1 つの Node に複数のセンサーを追加できます。
3. 「Device」を無視する
これらの Node は仮想サービスを表すため、通常、これらの特定の Node で基盤ハードウェアを監視する必要はありません。
- ヒント： 基盤サーバーが停止した場合に重複したアラートが発生するのを避けるため、これらの SNI Node では「Infrastructure Services」（Ping や SNMP など）を無効にできます。ハードウェアの監視はメインの「Device Node」で維持してください。
アーキテクチャの概要
| 監視目標 | Node の方針 |
|---|---|
| Physical Server Health | IP または Hostname によって 1 つの Node を作成します。CPU、RAM、Disk を監視します。 |
| SNI / Virtual Hosts | 複数の Node（URL ごとに 1 つ）を作成します。SSL、HTTP、Application の状態を監視します。 |
状態の集約：Composite Status Node
標準のフォルダー状態では、特定のセンサーエラーが正確に反映されない場合があるため（使用しているバージョンの構成によって異なります）、これらのチェックをグループ化する信頼性の高い方法は、Composite Status Node を使用することです。
構成方法
- Node を作成： タイプが Composite Status の新しい Node を追加します。名前を「Global SSL Status」にします。
- 監視： Node の設定で、Monitoring タブに移動します。
- 「Critical」グループに追加： Critical セクションの横にある +Add をクリックします。個々の SNI Node（Node A、Node B、Node C）から SSL Certificate Sensor を選択します。
適切なロジックグループの選択
SSL の監視には、Critical グループを使用してください。
-
Critical： 追加されたオブジェクトの いずれか が Down/Warning の場合、Composite Node は Down/Warning になります。
- 使用例： 証明書の監視に不可欠です。1 つの証明書の有効期限が切れた場合、直ちにアラートを受け取る必要があります。
-
Redundant： 追加されたすべてのオブジェクトが Down の場合にのみ、Composite Node が Down になります。
- 使用例： 1 つの障害が許容されるクラスター化サービス。固有の証明書には推奨されません。
-
Influential： オブジェクトが Down の場合、Composite Node は Warning のみを表示します。
- 使用例： 障害が完全な停止アラートを発生させるべきではない、優先度の低い項目。
このモデルの利点
- 正確なステータス： ステータスは、Critical リストに追加した SSL Sensor だけから厳密に導出されます。
- 単一のアラート： Composite Node のステータスが変化した場合に通知されるよう、Composite Node にアラートを構成できます。これにより、含まれるすべての証明書を一度にカバーできます。
