بريد فشل VPN على FortiGate: رشّح الحقول لا السجلات

يختبئ قراران داخل عبارة «أرسل لي بريدًا عند فشل تسجيل دخول VPN». الأول هو كيفية إيصال الإشعار: رسالة واحدة لكل حدث، أو ملخّص دوري، أو تنبيه من جامع سجلات. والثاني هو ما تحتويه الرسالة. الخطأ في الأول يغرق صندوق البريد، والخطأ في الثاني يحذف الحقول التي تجعل التنبيه قابلًا للتنفيذ. لا يتطلب أي من القرارين تعطيل فئة سجل VPN، وهو الطريق المختصر الذي يدمّر مسار التدقيق بهدوء.

ثلاثة أشكال للتوصيل ومتى يناسب كل منها

اختر حسب من يستجيب ومدى سرعته، لا حسب الخيار الأسهل في الإعداد. جهاز FortiGate واحد يحمي مكتبًا واحدًا قد يبرّر بريدًا لكل حدث. أمّا الإعداد نفسه على بوابة تتلقى محاولات حشو بيانات الاعتماد فينتج آلاف الرسائل يوميًا وينتهي في مجلد لا يقرأه أحد.

ابدأ من سجل الحدث لا من سطر الموضوع

اقرأ حدثًا مخزّنًا تمثيليًا على الإصدار الذي تشغّله فعلًا. يحدّد مرجع سجلات FortiOS 7.4.8 فشل تسجيل الدخول في SSL VPN كحدث 39426، وتشمل حقوله action، user، remip، reason، tunneltype و vd. وتصميم مرشّح من موضوع بريد معاد توجيهه بدلًا من ذلك السجل هو ما يجعل الناس يطابقون اسم حقل تكتبه برمجياتهم الثابتة بشكل مختلف. افتح فشلين أو ثلاثة فشل حقيقية وتأكد من تطابق المعرّفات قبل كتابة مُشغّل. الخمس دقائق التي يستغرقها ذلك أقصر من أسبوع من التنبيهات التي تنطلق على الحدث الخطأ.

يصل ربط الأتمتة مُشغّل سجل الأحداث بإجراء، والمُشغّل هو المكان المناسب لاختيار الحدث. أضف فقط شروط الحقول الإضافية التي يحتاجها متطلبك؛ فالمُشغّل الذي يرشّح مجموعة صغيرة من الحقول يظل يقدّم سلوكًا غير مختبر للبقية.

ابنِ جسمًا مختصرًا من عمليات الاستبدال المدعومة

في الإصدارات التي توثّق استبدال حقول السجل لإجراءات البريد، يمكن أن يكون الجسم قصيرًا ومفيدًا في الوقت نفسه. الشكل أدناه توضيحي؛ تحقّق من أسماء السمات وصيغة الاستبدال مقابل إصدار برنامجك الثابت قبل اعتماده.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

القالب الذي يُخرّج حقلًا فارغًا لا يثبت أن الحدث كان يفتقر إلى تلك البيانات. تحقّق من اسم الحقل وصيغة الاستبدال أولًا، ثم اختبر بفشل واحد مضبوط واقرأ الرسالة الفعلية. أضف هوية الجهاز ووقت الحدوث ليتمكن المستجيب من العثور على السجل الكامل دون تخمين الوحدة التي أرسلت البريد.

أخفض الحجم دون حذف السجل

التحكم في المعدل والتجميع وربط الأحداث تنتمي إلى طبقة التوصيل. رفع الحد الأدنى لخطورة البريد لكل شيء أداة فجّة تخفي أحداثًا غير ذات صلة، وتعطيل فئة سجل VPN أسوأ: تتوقف الأحداث عن الكتابة أصلًا. أبقِ وجهة التسجيل المعتمدة وسياسة الاحتفاظ كما كانتا تمامًا، ودع مسار الإشعار يصبح أهدأ بدلًا من ذلك. وثّق ما كتمته، لأن الشخص التالي سيجد فجوة في صندوق البريد ويحتاج أن يعرف أنها كانت متعمدة.

بعد التحقق من المسار الجديد، أزل أي قاعدة بريد قديمة متداخلة عبر تغيير مُراجَع. الانتهاء بمسارين ينطلقان معًا، أو بلا مسار ينطلق لأن القديم عُطّل أولًا، نتيجة شائعة للقيام بالتنظيف قبل الاختبار.

اقرأ الفشل على أنه فشل

حدث مصادقة فاشل ليس جلسة VPN ناجحة، واسم المستخدم في حدث ليس إسنادًا مُتحقّقًا إلى شخص. اربط السبب بعمليات تسجيل الدخول الناجحة ونشاط المستخدم المعروف والمحاولات المتكررة قبل إعلان اختراق حساب، واذكر في التنبيه أيًّا من ذلك تحققت منه.

أرسل الإشعار إلى المستلمين المصرح لهم فقط. أسماء الحسابات ومعرّفات الأجهزة الداخلية وعناوين المصدر حساسة تشغيليًا، وقائمة توزيع تنمو من أجل الراحة تصبح مسار تسريب. مسار واحد قابل للتنفيذ مع مسار تدقيق سليم هو الهدف كله.