Дзе сервер OpenVPN павінен пісаць свой журнал і чаму

Праект журнала адказвае на тры пытанні: які працэс стварыў запіс, дзе гэты запіс апынаецца і колькі ён жыве. OpenVPN можа пісаць у файл, перадаваць паведамленні сістэмнаму логеру або пакідаць іх таму, што перахопіць менеджар службаў, і гэта не тры копіі аднаго патоку. Кожны выбар змяняе, хто валодае ротацыяй, які карыстальнік можа прачытаць вынік і што адбываецца падчас запуску. Вырашыце гэтыя пытанні да інцыдэнту, бо пасля вы атрымаеце ў спадчыну тое, што наладжана.

Што дэман насамрэч робіць з дырэктывай

Дырэктывы не з’яўляюцца абстракцыямі; кожная вызначае, куды працэс піша свае паведамленні. log /path адкрывае гэты файл, log-append /path адкрывае яго для дапісвання, а syslog перадае паведамленні лакальнаму сістэмнаму логеру праз свой сокет. Без любой з іх вывад ідзе на стандартны вывад, і менеджар службаў вырашае, што будзе далей. Прачытайце дзейны юніт і профіль разам, перш чым заключыць, што дэман ігнаруе вашу канфігурацыю.

Апошні выпадак тыповы для пакетнай устаноўкі, і ён тлумачыць, чаму два адміністратары не згаджаюцца наконт месца журнала. Адзін чытае журнал юніта, другі файл, які дэман ніколі не пісаў.

Правярайце працоўную канфігурацыю, а не файл на дыску. Перакрыццё юніта тыпу drop-in або файл асяроддзя могуць змяніць дзейную дырэктыву, не закранаючы профіль, які вы чытаеце.

log абрынае, log-append не

log абрынае існуючы файл, калі дырэктыва набывае моц, таму перазапуск сцірае доказы да яго. log-append захоўвае тое, што ёсць, і дапісвае. Ніводзін варыянт нічога не ротуе, і ніводзін сам не адкрывае файл зноў пазней, таму ротацыя патрабуе супрацоўніцтва.

Калі ротацыя перайменоўвае файл, пакуль дэман далей піша ў стары дэскрыптар, новы файл застанецца пустым, а выкарыстанне дыска будзе расці ў перайменаваным. Пашліце працэсу сігнал адкрыць зноў або ротуйце стратэгіяй капіруй-і-абрынай і прымеце акно капіравання.

Каталог, уласнік і дазволы — частка праекта. Дэман можа пасля запуску працаваць як непрывілеяваны карыстальнік, а каталог, створаны root падчас устаноўкі, тады можа быць незапісвальным. Падрыхтуйце яго праз пакаванне або працэс разгортвання, замест таго каб выпраўляць дазволы падчас інцыдэнту.

Менеджар службаў трымае другую копію

systemd па змаўчанні перахоплівае стандартны вывад і стандартную памылку, таму юніт без явнага перанакіравання ўжо мае журнал. Даданне файлавай дырэктывы дае два патокі з розным захаваннем, рознымі чытачамі і рознымі часавымі пазнакамі.

Гэта не аўтаматычна няправільна, але павінна быць рашэннем. Пакіньце запіс пра запуск у журнале, бо збоі да з’яўлення наладжанага файла больш нідзе не відаць. Далей зрабіце файл аўтарытэтным для падзей у сталым рэжыме і скажыце гэта ў runbook. Два аўтарытэтныя патокі азначаюць два адказы на кожнае пытанне.

Пацвердзіце выбар тэстам, які наўмысна правальваецца. Запусціце дэман з нечытэльным сертыфікатам і праверце, які паток фіксуе памылку.

Падрабязнасць — не тое ж самае, што прыдатная для выкарыстання дэталь

Вышэйшы ўзровень verb дадае больш радкоў, а пасля пэўнай мяжы радкоў, якія ніхто не чытае. Узровень 3 — разумны сталы рэжым для большасці разгортванняў, тады як узровень 4 і вышэй пасуе абмежаванаму расследаванню з вядомым пытаннем. Прыглушэнне паўтораў змяншае шум, але не павінна хаваць, як часта падзея паўтараецца. Усталюйце ўзровень, які можаце трымаць, і падымайце яго толькі для названага расследавання з канцом.

Захоўвайце ідэнтычнасць інстанса і часавыя пазнакі ў запісе. Паўторнае злучэнне выглядае дакладна як першае, калі файл дапаўняецца месяцамі, а назвы інстанса няма.

Сачыце, што яшчэ трапляе ў гэты файл. Перанакіраваны вывад можа змяшчаць тэкст выкліканых скрыптоў, а дапаможная праграма, якая друкуе сваё асяроддзе, кладзе ўліковыя даныя і шляхі да ключоў у чытэльны журнал. Стаўцеся да доступу да журнала як да бяспечнага рашэння, нават калі сам дэман нічога адчувальнага не друкуе.

Ротацыя, захаванне і сігналы, што перазагружаюць

Вызначце тэрмін захавання разам з уласнікам дыска і ўсталюйце яго да таго, як том вырашыць за вас. Сігнал перазагрузкі не з’яўляецца камандай абслугоўвання журнала: няправільны сігнал перазапускае тунель і адключае кожнага карыстальніка. Запішыце працэдуру паўторнага адкрыцця побач з правілам ротацыі, каб яны не разышліся.

Вынікам павінна быць служба, якую аператар можа апісаць: адзін аўтарытэтны паток, кожная падзея размешчана ў жыццёвым цыкле і запіс, даступны без збору кожнага файла з таямніцамі на хосце. Гэтае апісанне — тэст прыёмкі праекта, і праверыць яго перад наступным інцыдэнтам танна.