El fitxer d’estat compta sessions, no la LAN que hi ha darrere
Una instantània llista sessions VPN i estat d’encaminament, no cada màquina darrere d’un lloc. Llegiu les capçaleres, els tipus de registre i l’edat del fitxer alhora.
Algú pregunta quantes màquines hi ha a la VPN, i el fitxer d’estat es presenta com a prova. Respon una pregunta més estreta: quantes sessions existeixen en aquesta instantània i quines adreces virtuals encamina el servidor. La diferència entre aquestes dues preguntes és on viuen la majoria d’errors d’informe, i tancar-la comença per llegir les capçaleres del propi fitxer.
Què conté realment la instantània
El fitxer s’escriu a intervals quan la sortida d’estat està configurada per a aquesta instància de servidor, així que és una imatge periòdica i no un flux en directe. Les seves seccions llisten les sessions i l’estat intern d’encaminament per separat, i la versió del format decideix la disposició de les columnes.
status /run/openvpn/office.status 30
status-version 3La versió 3 escriu camps separats per tabuladors amb una fila de capçalera, mentre que els formats més antics difereixen i les versions posteriors poden afegir camps. Llegiu la capçalera en lloc de fixar un número de columna, perquè un script que assumeix posicions es trenca en silenci a la propera actualització.
| Record | What it describes | What it cannot tell you |
|---|---|---|
| Client list | A session in this snapshot | How many people or machines that session represents |
| Real address | The outer peer address and port | Which device is behind it |
| Routing rows | Virtual addresses and route ownership | Which downstream hosts are alive |
Compteu sessions, no persones ni màquines
Una sola connexió de lloc pot portar trànsit de diverses màquines autoritzades al darrere. Una sola persona també pot mantenir més d’una sessió alhora, des d’un portàtil i un telèfon. Cap d’aquests patrons no es veu al recompte, i per això els usuaris connectats només tenen sentit quan definiu la unitat. Pregunteu quina unitat necessita l’informe abans que algú comenci a comptar.
Si el número importa per a llicències o capacitat, definiu la unitat al mateix document que l’informe. Un informe que no diu si compta sessions, identitats o dispositius es llegirà com la unitat que el lector esperava.
L’adreça exterior no és un identificador
El camp d’adreça real és l’adreça i el port del parell tal com els veu el servidor. Diversos clients darrere d’una adreça pública traduïda comparteixen aquesta adreça, així que agrupar per ella fusiona sessions sense relació. El port també canvia entre connexions, cosa que fa la parella inútil com a clau estable. Un informe agrupat així sembla precís i és incorrecte.
Utilitzeu la identitat efectiva del client per agrupar, i tracteu l’adreça com a detall de transport. Quan dues files comparteixen una identitat, normalment vol dir sessions simultànies i no un registre duplicat.
Les files d’encaminament no són inventari d’equips
Una entrada d’encaminament pot nomenar una subxarxa de la qual un parell és responsable, i una subxarxa no és una llista dels seus equips. El servidor sap que ha d’enviar aquell rang a una sessió concreta, i no té ni idea de quines d’aquelles màquines estan enceses, autenticades en una aplicació o són útils per a algú. La taula d’encaminament descriu abastabilitat, no ocupació. Aquesta diferència és tota la raó per la qual una VPN no pot respondre una pregunta d’inventari.
Diverses files també poden apuntar al mateix parell, perquè un lloc pot anunciar més d’un rang. Comptar files i anomenar el resultat recompte de dispositius sobreestima el desplegament per un factor arbitrari.
Si el requisit és genuïnament un inventari d’actius, feu servir el procés d’inventari que posseeix aquesta xarxa. La VPN pot identificar quin parell porta una ruta, i això és un fet diferent de quins equips existeixen al darrere.
Edat, permisos i vista en directe
Conserveu el temps de modificació del fitxer amb cada resposta. Un servidor que es va aturar fa hores deixa la seva última instantània al seu lloc, i un fitxer obsolet presentat com a actual és pitjor que cap informe.
El directori ha d’existir i ser escrivible pel compte amb què s’executa realment el servei, cosa fàcil d’oblidar després d’una passa d’enduriment. El fitxer sol contenir noms i adreces, així que guardeu-lo en una ubicació administrativa i no en qualsevol lloc des d’on un servidor web el pugui servir. Comproveu els permisos des del compte del servei, no des de la vostra shell. Una instantània que deixa d’actualitzar-se en silenci sembla exactament una xarxa tranquil·la.
Per a necessitats basades en esdeveniments, feu servir la interfície de gestió suportada en lloc d’enquestar més de pressa. Tracteu aquesta interfície com a control i no com a mètriques, i no l’exposeu mai a internet només per comptar sessions.