Файл стану лічыць сеансы, а не лакальную сетку за імі
Здымак пералічвае сеансы VPN і стан маршрутызацыі, а не кожную машыну за пляцоўкай. Чытайце загалоўкі, тыпы запісаў і ўзрост файла разам.
Нехта пытаецца, колькі машын у VPN, і файл стану прад’яўляецца як доказ. Ён адказвае на вузейшае пытанне: колькі сеансаў існуе ў гэтым здымку і якія віртуальныя адрасы сервер маршрутызуе. Менавіта ў прамежку паміж гэтымі пытаннямі жыве большасць памылак справаздачнасці, і закрыць яго можна, пачаўшы з чытання ўласных загалоўкаў файла.
Што здымак насамрэч змяшчае
Файл запісваецца праз пэўны інтэрвал, калі для гэтага асобніка сервера наладжаны вывад стану, таму гэта перыядычная карціна, а не жывы паток. Яго раздзелы асобна пералічваюць сеансы і ўнутраны стан маршрутызацыі, а версія фармату вызначае раскладку слупкоў.
status /run/openvpn/office.status 30
status-version 3Версія 3 запісвае палі, падзеленыя табуляцыяй, з радком загалоўка, тады як старэйшыя фарматы адрозніваюцца, а пазнейшыя версіі могуць дадаваць палі. Чытайце загаловак замест таго, каб жорстка замацоўваць нумар слупка, бо сцэнар, які мяркуе пазіцыі, ціха ламаецца пры наступным абнаўленні.
| Record | What it describes | What it cannot tell you |
|---|---|---|
| Client list | A session in this snapshot | How many people or machines that session represents |
| Real address | The outer peer address and port | Which device is behind it |
| Routing rows | Virtual addresses and route ownership | Which downstream hosts are alive |
Лічыце сеансы, а не людзей ці машыны
Адно злучэнне пляцоўкі можа несці трафік для некалькіх дазволеных машын за ёй. Адзін чалавек таксама можа трымаць больш за адзін сеанс адначасова, з ноўтбука і тэлефона. Ні адзін з гэтых узораў не бачны ў ліку, таму «падключаныя карыстальнікі» набываюць сэнс толькі пасля вызначэння адзінкі. Спытайце, якая адзінка патрэбна справаздачы, перш чым хто-небудзь пачне лічыць.
Калі лік важны для ліцэнзавання ці ёмістасці, вызначце адзінку ў тым жа дакуменце, што і справаздача. Справаздача, якая не ўказвае, ці лічыць яна сеансы, ідэнтычнасці ці прылады, будзе прачытана як тая адзінка, якую чакаў чытач.
Знешні адрас не з’яўляецца ідэнтыфікатарам
Поле рэальнага адраса — гэта адрас і порт партнёра так, як іх бачыць сервер. Некалькі кліентаў за адным трансляваным публічным адрасам дзеляць гэты адрас, таму групаванне па ім злівае няроднасныя сеансы. Порт таксама змяняецца паміж злучэннямі, што робіць пару непрыдатнай як стабільны ключ. Справаздача, згрупаваная такім чынам, выглядае дакладнай і памылковая.
Выкарыстоўвайце эфектыўную ідэнтычнасць кліента для групавання, а адрас лічыце дэталлю транспарту. Калі два радкі дзеляць ідэнтычнасць, гэта звычайна азначае адначасовыя сеансы, а не дублікат запісу.
Радкі маршрутызацыі — не інвентар хастоў
Запіс маршруту можа называць падсетку, за якую адказвае адзін партнёр, а падсетка — не спіс яе хастоў. Сервер ведае, што павінен адпраўляць гэты дыяпазон пэўнаму сеансу, і не мае ўяўлення, якія з гэтых машын уключаны, аўтэнтыфікаваны ў праграме ці камусьці карысныя. Табліца маршрутызацыі апісвае дасяжнасць, а не занятасць. Менавіта гэтая розніца і ёсць прычына, чаму VPN не можа адказаць на пытанне інвентару.
Некалькі радкоў таксама могуць паказваць на аднаго партнёра, бо пляцоўка можа абвяшчаць больш за адзін дыяпазон. Лічыць радкі і называць вынік колькасцю прылад — гэта завышае разгортванне на адвольны каэфіцыент.
Калі патрабаванне сапраўды пра інвентар актываў, выкарыстоўвайце працэс інвентарызацыі, які валодае гэтай сеткай. VPN можа вызначыць, які партнёр нясе маршрут, і гэта іншы факт, чым тое, якія хасты існуюць за ім.
Узрост, правы і жывы прагляд
Захоўвайце час змянення файла з кожным адказам. Сервер, які спыніўся некалькі гадзін таму, пакідае свой апошні здымак на месцы, а састарэлы файл, прадстаўлены як актуальны, горш за адсутнасць справаздачы.
Каталог павінен існаваць і быць запісваемым для ўліковага запісу, ад якога служба фактычна працуе, — пра гэта лёгка забыць пасля этапу ўмацавання. Файл звычайна змяшчае імёны і адрасы, таму трымайце яго ў адміністрацыйным месцы, а не дзе заўгодна, адкуль яго можа аддаць вэб-сервер. Правярайце правы з уліковага запісу службы, а не са сваёй абалонкі. Здымак, які ціха перастаў абнаўляцца, выглядае дакладна як спакойная сетка.
Для патрэб, кіраваных падзеямі, выкарыстоўвайце падтрыманы інтэрфейс кіравання замест хутчэйшага апытання. Стаўцеся да гэтага інтэрфейсу як да кіравання, а не як да метрык, і ніколі не адкрывайце яго праз інтэрнэт толькі каб палічыць сеансы.