On ha d’escriure el seu registre un servidor OpenVPN, i per què

Un disseny de registre respon tres preguntes: quin procés va produir un registre, on aterra aquest registre i quant de temps sobreviu. OpenVPN pot escriure en un fitxer, lliurar els missatges al registrador del sistema o deixar-los al que capturi el gestor de serveis, i no són tres còpies d’un mateix flux. Cada elecció canvia qui és propietari de la rotació, quin usuari pot llegir el resultat i què passa durant l’arrencada. Resoleu les respostes abans d’un incident, perquè després heretareu el que estigui configurat.

Què fa realment el dimoni amb la directiva

Les directives no són abstraccions; cadascuna decideix on escriu el procés els seus missatges. log /path obre aquest fitxer, log-append /path l’obre per afegir-hi, i syslog lliura els missatges al registrador local del sistema pel seu sòcol. Sense cap d’elles, la sortida va a la sortida estàndard i el gestor de serveis decideix què passa després. Llegiu la unitat efectiva i el perfil junts abans de concloure que el dimoni ignora la vostra configuració.

Aquest darrer cas és habitual en una instal·lació empaquetada, i explica per què dos administradors no es posen d’acord sobre on viu el registre. Un llegeix el journal de la unitat, l’altre un fitxer que el dimoni mai va escriure.

Comproveu la configuració en execució en lloc del fitxer al disc. Una anul·lació d’unitat de tipus drop-in o un fitxer d’entorn poden canviar la directiva efectiva sense tocar el perfil que esteu llegint.

log trunca, log-append no

log trunca un fitxer existent quan la directiva entra en vigor, així que un reinici esborra l’evidència anterior. log-append conserva el que hi ha i afegeix. Cap de les dues opcions no rota res, i cap no reobre el fitxer després per si sola, per això la rotació necessita cooperació.

Si la rotació canvia el nom del fitxer mentre el dimoni continua escrivint al descriptor antic, el fitxer nou queda buit i l’ús de disc segueix creixent al renombrat. Senyaleu al procés que reobri, o roteu amb una estratègia de copiar i truncar i accepteu la finestra de còpia.

El directori, la propietat i els permisos formen part del disseny. El dimoni pot executar-se com a usuari sense privilegis després de l’arrencada, i un directori creat per root a la instal·lació pot no ser escribible aleshores. Prepareu-lo mitjançant l’empaquetament o el procés de desplegament en lloc de corregir permisos durant un incident.

El gestor de serveis guarda una segona còpia

systemd captura la sortida estàndard i la sortida d’error per defecte, així que una unitat sense redirecció explícita ja té un registre. Afegir una directiva de fitxer dona dos fluxos amb retenció, lectors i marques de temps diferents.

Això no és automàticament incorrecte, però ha de ser una decisió. Manteniu el registre d’arrencada al journal, perquè les fallades abans que existeixi el fitxer configurat no apareixen enlloc més. Després feu que el fitxer sigui autoritatiu per als esdeveniments en règim estable i digueu-ho al runbook. Dos fluxos autoritatius signifiquen dues respostes per a cada pregunta.

Confirmeu l’elecció amb una prova que falla a propòsit. Arrenqueu el dimoni amb un certificat illegible i comproveu quin flux registra l’error.

La verbositat no és el mateix que el detall utilitzable

Un nivell de verb més alt afegeix més línies i, passat un punt, línies que ningú no llegeix. El nivell 3 és un règim estable raonable per a la majoria de desplegaments, mentre que el nivell 4 i superiors encaixen en una investigació limitada amb una pregunta coneguda. La supressió de repeticions redueix el soroll, però no ha d’amagar amb quina freqüència es repeteix un esdeveniment. Fixeu el nivell que pugueu sostenir i augmenteu-lo només per a una investigació amb nom i amb final.

Manteniu la identitat de la instància i les marques de temps al registre. Una reconnexió sembla exactament una primera connexió quan el fitxer fa mesos que rep afegits i falta el nom de la instància.

Compte amb la resta que cau en aquest fitxer. La sortida redirigida pot incloure text de scripts invocats, i un auxiliar que imprimeix el seu entorn posa credencials i camins de claus en un registre llegible. Tracteu l’accés al registre com una decisió de seguretat fins i tot quan el propi dimoni no imprimeix res sensible.

Rotació, retenció i els senyals que recarreguen

Decidiu la retenció amb la persona propietària del disc i fixeu-la abans que el volum decideixi per vosaltres. Un senyal de recàrrega no és una ordre de manteniment del registre: enviar el senyal equivocat reinicia el túnel i desconnecta tots els usuaris. Escriviu el procediment de reobertura al costat de la regla de rotació perquè tots dos no se separin.

El resultat hauria de ser un servei que un operador pugui descriure: un flux autoritatiu, cada esdeveniment situat al cicle de vida i un registre obtenible sense recollir tots els fitxers amb secrets de l’amfitrió. Aquesta descripció és la prova d’acceptació del disseny, i comprovar-la abans del proper incident és barat.