Giám sát chủ động và thụ động: nên dùng khi nào?

Probe hoặc software agent tạo packet hay transaction theo lịch: ICMP/TWAMP, DNS, HTTP, voice/video hoặc workflow ứng dụng. Vì phép đo có kiểm soát, kết quả dễ so sánh theo thời gian và có thể phát hiện lỗi ngay cả khi ít người dùng thật.

Điểm yếu là traffic tổng hợp chỉ đại diện cho tuyến, DSCP, tài khoản và hành vi đã cấu hình. Một probe đặt sai vị trí có thể báo xanh trong khi người dùng ở chi nhánh khác vẫn gặp lỗi.

Packet, flow, log và telemetry cho thấy lưu lượng thật, top talker, lỗi giao thức, retransmission và hành vi bất thường. Nó hữu ích khi điều tra ai bị ảnh hưởng, ứng dụng nào và tại thời điểm nào.

Độ tin cậy phụ thuộc coverage và packet fidelity. SPAN oversubscription, filter sai, thiếu east-west traffic hoặc clock lệch có thể tạo điểm mù và tương quan sai.

Đặt active endpoint ở vị trí đại diện cho người dùng, chi nhánh, data center và cloud region. Đặt passive collection tại các choke point có khả năng phân biệt client, WAN, security tier và application tier.

Mỗi điểm đo cần naming, owner, NTP/PTP, health check và metadata như site, circuit, provider, application. Đây là điều kiện để dashboard và cảnh báo có ý nghĩa.

Khi active test phát hiện latency tăng, hệ thống nên cho phép mở passive evidence trong cùng cửa sổ thời gian: route change, retransmission, server reset hoặc volume spike. Sau khi sửa, active test xác minh dịch vụ đã trở lại baseline.

Cần chuẩn hóa timestamp, service ID và site ID. Không nhất thiết gom mọi dữ liệu vào một nơi, nhưng phải có khóa tương quan và runbook rõ ràng.

Ngưỡng tĩnh phù hợp với giới hạn cứng nhưng dễ tạo false positive khi hành vi thay đổi theo giờ. Baseline động giúp nhận ra độ lệch, song phải có guardrail để không coi suy giảm kéo dài là bình thường mới.

Thiết kế cảnh báo nhiều mức: symptom, impact và root-cause evidence. Hạn chế gửi nhiều cảnh báo cho cùng một sự cố; ưu tiên service impact và khả năng hành động.

Một vòng hoàn chỉnh gồm đo định kỳ, phát hiện lệch, xác minh từ điểm thứ hai, thu thập packet/flow, khoanh vùng domain, xử lý, chạy lại synthetic test và đóng sự cố khi SLO ổn định.

• Active: baseline, availability, SLA và kiểm tra lặp lại
• Passive: ngữ cảnh traffic thật và điều tra
• Config/telemetry: xác nhận thay đổi và resource
• Runbook: owner, escalation và tiêu chí đóng sự cố

Active monitoring cần phủ các đường đi và dịch vụ quan trọng nhưng không tạo tải dư thừa. Passive monitoring cần thấy đúng packet/flow tại điểm có thể khoanh vùng lỗi. Lập ma trận site, path, application, user segment và business criticality để biết khoảng trống quan sát.

Không phải dữ liệu nào cũng cần giữ lâu như nhau. Metric tổng hợp có thể giữ dài hạn để xem xu hướng; packet hoặc payload nhạy cảm cần giới hạn phạm vi, thời gian, quyền truy cập và cơ chế masking theo chính sách tổ chức.

• Định nghĩa tần suất probe theo độ quan trọng
• Gắn synthetic transaction với dependency thực
• Đặt retention và access control cho packet/flow/metric
• Theo dõi chính hệ thống giám sát để phát hiện điểm mù

Cảnh báo chủ động cho biết dịch vụ lệch baseline; dữ liệu thụ động giúp xác định host, flow, retransmission hoặc error liên quan. Sau khi xử lý, probe chủ động xác nhận người dùng đã nhận lại chất lượng mong muốn.

Một incident record nên lưu timeline, path, thay đổi cấu hình, bằng chứng trước/sau và chủ sở hữu. Điều này biến giám sát từ tập dashboard rời rạc thành quy trình có thể cải tiến.