Moniteer VPN-eweknieë sonder om te log waar hulle blaai

Om ’n VPN-eweknie te moniteer het vier feite nodig, en nie een daarvan is ’n bestemming nie. Of die tonnel op is, wanneer dit laas verkeer uitgeruil het, watter sleutels betrokke is en hoeveel beweeg het, is genoeg vir beskikbaarheid. Enigiets verder is ’n rekord oor ’n persoon, en dit behoort ’n doelbewuste besluit te wees eerder as ’n newe-effek van die oopmaak van ’n statusbladsy. Begin by die vraag wat jy moet beantwoord en kies dan die kleinste uitset wat dit beantwoord.

Bepaal eers die vraag, dan die gereedskap

Skryf eers die operasionele vraag neer: is hierdie eweknie gekoppel, en beweeg dit verkeer? Daardie vraag het ’n lewendige aansig nodig, en ’n lewendige aansig het geen bewaringsprobleem nie. ’n Tweede vraag, of die eweknie verlede Dinsdag om 02:00 gekoppel was, het ’n gestoorde reeks nodig en dus ’n bewaringsbesluit. Om dié twee te skei is die hele ontwerp, want die lewendige aansig is goedkoop terwyl die gestoorde reeks in ’n databeskermingsgesprek ontaard.

Hou die gesondheidstoets ook apart van die statusuitset. ’n Onlangse handskudding bewys die tonnel het onderhandel, nie dat die private toepassing daaragter werk nie, so toets die toepassing deur ’n gemagtigde kontrole eerder as om dit uit tellers af te lei. Wanneer die kontrole misluk en die handskudding is onlangs, sit die probleem anderkant die tonnel.

Lees die drie velde wat dit beantwoord

WireGuard se gewone statusuitset dra die koppelvlak, publieke sleutel, eindpunt, jongste handskudding en oordragtellers. Teenwoordigheid het die publieke sleutel en die jongste handskudding nodig; voeg die greptellers by as jy moet, om beweging te sien. Die eindpunt is nie nodig vir teenwoordigheid nie en is die eerste veld om te laat vaar, want dit identifiseer waar ’n toestel van verbind. Die handleidingsbladsy beskryf elke veld wat die gereedskap druk, en dit is kort genoeg om een keer te lees:

wg show
wg show wg0 latest-handshakes

Lees daardie syfers as ouderdomme eerder as as booleans. ’n Handskudding is slegs aktueel relatief tot die protokol se eie herslutelingsinterval, en ’n teller wat nie beweeg het nie kan ’n ledige eweknie beteken eerder as ’n stukkende een. Hou albei in dieselfde aansig sodat ouderdom en beweging saam gelees word.

Kies ’n interval wat jy kan verdedig

Elke statusmonster is ’n rekord, so die interval is ’n bewaringsbesluit met ’n moniteringsetiket. ’n Tien-sekonde-monster gee fyn detail en vermenigvuldig die gestoorde rye, terwyl ’n een-minuut-monster gewoonlik genoeg is vir beskikbaarheid teen ’n sesde van die koste. Kies die interval op grond van die reaksietyd wat jy belowe het eerder as op grond van wat die gereedskap kan doen. Skryf dan die getal langs die paneelbord.

Vir OpenVPN skryf die statusfasiliteit ’n lêer teen ’n gekonfigureerde interval. In die bedienerkonfigurasie lyk dit soos status /var/log/openvpn-status.log 60, waar die getal aan die einde die sekondes tussen herskrywings is, en die lêer word vervang eerder as bygevoeg. Daardie detail maak saak: ’n vervange lêer het geen geskiedenis nie, terwyl ’n versamelaar wat daarby byvoeg een skep.

Bevestig dat die versamelaar ook die interval eerbiedig. ’n Gereedskap wat elke sekonde monsters neem en een ry per minuut stoor, lees steeds elke sekonde.

Hou die etikette stabiel en die kartering beperk

’n Publieke sleutel identifiseer ’n toestelverhouding selfs wanneer geen naam aangeheg is nie, so behandel die sleutel as persoonlike data eerder as as ’n ondeursigtige identifiseerder. Etiketteer eweknieë met stabiele interne identifiseerders wat herverbindings oorleef, en hou die kartering van identifiseerder na persoon op ’n beperkte plek. ’n Paneelbord wat ’n tydreeks skryf, is ’n gestoorde rekord selfs wanneer die VPN geen lêer van sy eie hou nie. Wanneer die paneelbord die enigste stoor is, is die paneelbord waar die bewaringsreël geld.

Hersien ook die uitvoerpad, want ’n gekopieerde CSV oorleef die stelsel wat dit geskep het. Samegevoegde beskikbaarheid is dikwels genoeg vir ’n verslag: die verhouding eweknieë met ’n handskudding binne die venster beantwoord die operasionele vraag sonder om te lys wie wanneer gekoppel was.

Dokumenteer wat jy versamel en wat jy nie versamel nie

Skryf die versamelingsbeskrywing in eenvoudige taal: watter velde, van watter koppelvlak, teen watter interval, waar gestoor, hoe lank gehou, en wie dit kan lees. Sit dit langs die runbook eerder as in ’n beleidsbewaarplek wat niemand tydens ’n voorval oopmaak nie. Die beskrywing moet ook sê wat die monitering nie kan sien nie, want dit is wat keer dat iemand aanneem die afwesigheid van blaai-data beteken die afwesigheid van rekords.

Hersien die bewaringsvenster wanneer die monitering verander, want ’n nuwe veld verleng stilweg wat gehou word. Skrap dan wat die beskrywing sê jy skrap, en verifieer dat die skrapping werklik gebeur het.