Файлът на състоянието брои сесии, а не локалната мрежа зад тях
Моментна снимка изброява VPN сесии и състояние на маршрутизацията, а не всяка машина зад даден обект. Четете заглавките, типовете записи и възрастта на файла заедно.
Някой пита колко машини има във VPN, а файлът на състоянието се представя като доказателство. Той отговаря на по-тесен въпрос: колко сесии съществуват в тази моментна снимка и кои виртуални адреси маршрутизира сървърът. Разликата между тези два въпроса е мястото, където живеят повечето грешки в отчетите, и затварянето ѝ започва с четене на собствените заглавки на файла.
Какво всъщност съдържа моментната снимка
Файлът се записва на интервал, когато за този екземпляр на сървъра е настроен изход на състоянието, така че това е периодична картина, а не жива връзка. Разделите му изброяват сесиите и вътрешното състояние на маршрутизацията поотделно, а версията на формата определя подредбата на колоните.
status /run/openvpn/office.status 30
status-version 3Версия 3 записва полета, разделени с табулатори, с ред за заглавка, докато по-старите формати се различават, а по-новите версии може да добавят полета. Четете заглавката, вместо да твърдо кодирате номер на колона, защото скрипт, който предполага позиции, се чупи тихо при следващото обновяване.
| Record | What it describes | What it cannot tell you |
|---|---|---|
| Client list | A session in this snapshot | How many people or machines that session represents |
| Real address | The outer peer address and port | Which device is behind it |
| Routing rows | Virtual addresses and route ownership | Which downstream hosts are alive |
Бройте сесии, а не хора или машини
Една връзка към обект може да носи трафик за няколко разрешени машини зад нея. Един човек също може да поддържа повече от една сесия едновременно, от лаптоп и телефон. Нито един от тези модели не се вижда в броя, затова „свързани потребители“ има смисъл само след като дефинирате единицата. Питайте коя единица е нужна на отчета, преди някой да започне да брои.
Ако числото е важно за лицензиране или капацитет, дефинирайте единицата в същия документ като отчета. Отчет, който не посочва дали брои сесии, идентичности или устройства, ще бъде прочетен като онази единица, която читателят е очаквал.
Външният адрес не е идентификатор
Полето за реален адрес е адресът и портът на партньора, както ги вижда сървърът. Няколко клиента зад един транслатиран публичен адрес споделят този адрес, така че групирането по него слива несвързани сесии. Портът също се променя между връзките, което прави двойката безполезна като стабилен ключ. Отчет, групиран по този начин, изглежда точен и е грешен.
Използвайте ефективната идентичност на клиента за групиране и третирайте адреса като детайл по транспорта. Когато два реда споделят идентичност, това обикновено означава едновременни сесии, а не дублиран запис.
Редовете за маршрутизация не са инвентар на хостове
Запис за маршрут може да посочи подмрежа, за която отговаря един партньор, а подмрежата не е списък на нейните хостове. Сървърът знае, че трябва да изпраща този диапазон към определена сесия, и няма представа кои от тези машини са включени, удостоверени в приложение или полезни на някого. Таблицата за маршрутизация описва достъпност, а не заетост. Точно тази разлика е причината VPN да не може да отговори на въпрос за инвентар.
Няколко реда също могат да сочат към един и същ партньор, защото обектът може да обявява повече от един диапазон. Броенето на редове и наричането на резултата брой устройства завишава внедряването с произволен фактор.
Ако изискването наистина е инвентар на активи, използвайте процеса за инвентаризация, който притежава тази мрежа. VPN може да установи кой партньор носи маршрут и това е различен факт от това кои хостове съществуват зад него.
Възраст, права и жив изглед
Пазете времето на промяна на файла с всеки отговор. Сървър, спрял преди часове, оставя последната си моментна снимка на място, а остарял файл, представен като актуален, е по-лош от липсата на отчет.
Директорията трябва да съществува и да е достъпна за запис от акаунта, под който услугата реално работи, което лесно се забравя след етап на затягане. Файлът обикновено съдържа имена и адреси, затова го пазете на административно място, а не където и да е, откъдето уеб сървър може да го сервира. Проверявайте правата от акаунта на услугата, а не от вашата обвивка. Моментна снимка, която тихо спира да се обновява, изглежда точно като тиха мрежа.
За нужди, задвижвани от събития, използвайте поддържания интерфейс за управление вместо по-бързо запитване. Третирайте този интерфейс като управление, а не като метрики, и никога не го излагайте в интернет само за да броите сесии.