Nadzirite VPN partnere bez bilježenja gdje pregledavaju

Nadzor VPN partnera traži četiri činjenice i nijedna od njih nije odredište. Je li tunel podignut, kada je posljednji put razmijenio saobraćaj, koji su ključevi uključeni i koliko se prenijelo dovoljno je za dostupnost. Sve iznad toga je zapis o osobi i treba biti svjesna odluka, a ne nuspojava otvaranja stranice sa statusom. Počnite od pitanja na koje morate odgovoriti, pa odaberite najmanji izlaz koji na njega odgovara.

Odlučite pitanje prije alata

Prvo napišite operativno pitanje: je li ovaj partner povezan i prenosi li saobraćaj? To pitanje traži živi pregled, a živi pregled nema problem zadržavanja. Drugo pitanje, je li partner bio povezan u 02:00 prošlog utorka, traži sačuvanu seriju i zato odluku o zadržavanju. Razdvajanje tih dvaju je cijeli dizajn, jer je živi pregled jeftin, dok se sačuvana serija pretvara u razgovor o zaštiti podataka.

Držite provjeru zdravlja odvojeno od statusnog izlaza. Nedavno rukovanje dokazuje da je tunel pregovarao, a ne da privatna aplikacija iza njega radi, zato testirajte aplikaciju kroz ovlaštenu provjeru umjesto da to zaključujete iz brojača. Kada provjera ne uspije, a rukovanje je nedavno, problem je s one strane tunela.

Čitajte tri polja koja odgovaraju

Običan statusni izlaz WireGuard-a nosi interfejs, javni ključ, krajnju tačku, posljednje rukovanje i brojače prenosa. Za prisustvo su potrebni javni ključ i posljednje rukovanje; ako morate, dodajte bajtne brojače da vidite kretanje. Krajnja tačka nije potrebna za prisustvo i prvo je polje koje treba ispustiti, jer identifikuje odakle se uređaj povezuje. Stranica priručnika opisuje svako polje koje alat ispisuje i dovoljno je kratka da se pročita jednom:

wg show
wg show wg0 latest-handshakes

Čitajte te brojeve kao starost, a ne kao bulove vrijednosti. Rukovanje je aktuelno samo u odnosu na sopstveni interval zamjene ključeva protokola, a brojač koji se nije pomjerio može značiti neaktivnog partnera, a ne pokvarenog. Držite oboje u istom pregledu da se starost i kretanje čitaju zajedno.

Odaberite interval koji možete braniti

Svaki uzorak statusa je zapis, pa je interval odluka o zadržavanju s oznakom nadzora. Uzorak svakih deset sekundi daje finu detaljnost i umnožava sačuvane redove, dok je uzorak svake minute obično dovoljan za dostupnost uz šestinu troška. Odaberite interval prema vremenu odziva koje ste obećali, a ne prema onome što alat može. Zatim napišite broj pored nadzorne ploče.

Za OpenVPN statusna usluga piše datoteku u podešenom intervalu. U konfiguraciji servera to izgleda ovako status /var/log/openvpn-status.log 60, gdje je broj na kraju sekunde između prepisivanja, a datoteka se zamjenjuje, a ne dopunjuje. Taj detalj je važan: zamijenjena datoteka nema historiju, dok sakupljač koji je dopunjuje stvara je.

Potvrdite da i sakupljač poštuje interval. Alat koji uzorkuje svake sekunde i čuva jedan red u minuti ipak čita svake sekunde.

Držite oznake stabilnim, a mapiranje ograničenim

Javni ključ identifikuje odnos uređaja čak i kada nije pripojeno ime, pa prema ključu postupajte kao prema ličnim podacima, a ne kao prema neprozirnom identifikatoru. Označite partnere stabilnim internim identifikatorima koji preživljavaju ponovna povezivanja i držite mapiranje identifikatora na osobu na ograničenom mjestu. Nadzorna ploča koja piše vremensku seriju je sačuvani zapis čak i kada VPN ne drži vlastitu datoteku. Kada je nadzorna ploča jedino spremište, nadzorna ploča je mjesto gdje se primjenjuje pravilo zadržavanja.

Pregledajte i put izvoza, jer kopirani CSV nadživi sistem koji ga je proizveo. Zbirna dostupnost često je dovoljna za izvještaj: udio partnera s rukovanjem unutar prozora odgovara na operativno pitanje bez navođenja ko je kada bio povezan.

Dokumentujte šta prikupljate, a šta ne

Napišite opis prikupljanja jednostavnim jezikom: koja polja, s kojeg interfejsa, u kojem intervalu, gdje se čuvaju, koliko dugo i ko ih može čitati. Stavite ga pored runbooka, a ne u skladište politika koje niko ne otvara tokom incidenta. Opis treba reći i šta nadzor ne može vidjeti, jer to sprječava nekoga da pretpostavi da odsustvo podataka o pregledanju znači odsustvo zapisa.

Pregledajte prozor zadržavanja kad god se nadzor promijeni, jer novo polje tiho produžava ono što se čuva. Zatim obrišite ono što opis kaže da brišete i provjerite da je brisanje zaista obavljeno.