Sledujte VPN partnery, aniž byste zaznamenávali, kam prohlížejí

Sledování VPN partnera vyžaduje čtyři skutečnosti a žádná z nich není cíl. Zda je tunel nahoře, kdy naposledy vyměnil provoz, které klíče jsou zapojeny a kolik se přeneslo, stačí pro dostupnost. Cokoli nad to je záznam o člověku a mělo by to být vědomé rozhodnutí, ne vedlejší efekt otevření stavové stránky. Začněte otázkou, na kterou musíte odpovědět, a pak zvolte nejmenší výstup, který na ni odpovídá.

Rozhodněte otázku dřív než nástroj

Nejprve napište provozní otázku: je tento partner připojený a přenáší provoz? Ta otázka potřebuje živý pohled a živý pohled nemá problém s uchováváním. Druhá otázka, zda byl partner připojený v 02:00 minulé úterý, potřebuje uloženou řadu, a tím i rozhodnutí o uchovávání. Oddělení těchto dvou je celý návrh, protože živý pohled je levný, zatímco uložená řada se mění v rozhovor o ochraně dat.

Udržujte kontrolu stavu oddělenou od stavového výstupu. Nedávný handshake dokazuje, že tunel vyjednal, nikoli že soukromá aplikace za ním funguje, proto aplikaci testujte autorizovanou kontrolou, místo abyste to odvozovali z čítačů. Když kontrola selže a handshake je nedávný, problém je za tunelem.

Čtěte tři pole, která na ni odpovídají

Běžný stavový výstup WireGuardu nese rozhraní, veřejný klíč, koncový bod, poslední handshake a přenosové čítače. Přítomnost potřebuje veřejný klíč a poslední handshake; pokud musíte, přidejte bajtové čítače, abyste viděli pohyb. Koncový bod pro přítomnost není potřeba a je prvním polem, které je třeba vypustit, protože určuje, odkud se zařízení připojuje. Stránka manuálu popisuje každé pole, které nástroj vypisuje, a je dost krátká na jedno přečtení:

wg show
wg show wg0 latest-handshakes

Čtěte ta čísla jako stáří, ne jako booleovské hodnoty. Handshake je aktuální jen vůči vlastnímu intervalu obnovy klíčů protokolu a čítač, který se nepohnul, může znamenat nečinného partnera místo rozbitého. Udržujte obojí ve stejném pohledu, aby se stáří a pohyb četly společně.

Zvolte interval, který dokážete obhájit

Každý vzorek stavu je záznam, takže interval je rozhodnutí o uchovávání s nálepkou monitoringu. Vzorek každých deset sekund dává jemné detaily a násobí uložené řádky, zatímco vzorek každou minutu obvykle stačí pro dostupnost za šestinu nákladů. Interval vybírejte podle doby odezvy, kterou jste slíbili, ne podle toho, co nástroj umí. Pak napište číslo vedle panelu.

Pro OpenVPN zapisuje stavové zařízení soubor v nastaveném intervalu. V konfiguraci serveru to vypadá takto status /var/log/openvpn-status.log 60, kde číslo na konci jsou sekundy mezi přepisy a soubor se nahrazuje, nikoli přidává. Ten detail je důležitý: nahrazený soubor nemá historii, zatímco sběrač, který do něj přidává, ji vytváří.

Ověřte, že sběrač interval také dodržuje. Nástroj, který vzorkuje každou sekundu a ukládá jeden řádek za minutu, přesto čte každou sekundu.

Udržujte štítky stabilní a mapování omezené

Veřejný klíč identifikuje vztah zařízení, i když k němu není připojeno jméno, proto s klíčem zacházejte jako s osobním údajem, ne jako s neprůhledným identifikátorem. Označujte partnery stabilními interními identifikátory, které přežijí opětovná připojení, a mapování z identifikátoru na osobu držte na omezeném místě. Panel, který zapisuje časovou řadu, je uložený záznam, i když VPN nevede vlastní soubor. Když je panel jediným úložištěm, pravidlo uchovávání platí právě pro panel.

Projděte i cestu exportu, protože zkopírovaný CSV přežije systém, který ho vytvořil. Souhrnná dostupnost často stačí pro zprávu: podíl partnerů s handshakem uvnitř okna odpovídá provozní otázce, aniž by vypisoval, kdo byl kdy připojen.

Zdokumentujte, co sbíráte a co ne

Popište sběr jednoduchým jazykem: která pole, z kterého rozhraní, v jakém intervalu, kde se ukládají, jak dlouho se drží a kdo je může číst. Dejte to vedle runbooku, ne do úložiště zásad, které při incidentu nikdo neotevře. Popis má také říct, co monitoring nevidí, protože právě to brání tomu, aby někdo předpokládal, že nepřítomnost dat o prohlížení znamená nepřítomnost záznamů.

Kdykoli se monitoring změní, projděte okno uchovávání, protože nové pole tiše prodlužuje to, co se drží. Pak smažte to, co popis říká, že mažete, a ověřte, že smazání skutečně proběhlo.