Stavový soubor počítá relace, ne LAN za nimi

Někdo se ptá, kolik strojů je na VPN, a stavový soubor se předkládá jako důkaz. Odpovídá ale na užší otázku: kolik relací v tomto snímku existuje a které virtuální adresy server směruje. Právě v mezeře mezi těmito dvěma otázkami žije většina chyb ve výkazech a její uzavření začíná čtením vlastních hlaviček souboru.

Co snímek skutečně obsahuje

Soubor se zapisuje v intervalu, když je pro tuto instanci serveru nakonfigurován výstup stavu, takže je to periodický obrázek, nikoli živý proud. Jeho sekce vypisují relace a vnitřní stav směrování odděleně a verze formátu určuje rozvržení sloupců.

status /run/openvpn/office.status 30
status-version 3

Verze 3 zapisuje pole oddělená tabulátory s řádkem hlavičky, starší formáty se liší a novější verze mohou přidávat pole. Čtěte hlavičku místo pevného zadání čísla sloupce, protože skript, který předpokládá pozice, se při příští aktualizaci tiše rozbije.

Počítejte relace, ne lidi ani stroje

Jedno připojení lokality může přenášet provoz několika povolených strojů za sebou. Jeden člověk také může držet více než jednu relaci současně, z notebooku a telefonu. Ani jeden z těchto vzorců není v počtu vidět, a proto mají připojení uživatelé smysl jen tehdy, když definujete jednotku. Zeptejte se, jakou jednotku výkaz potřebuje, než někdo začne počítat.

Pokud na čísle záleží pro licencování nebo kapacitu, definujte jednotku ve stejném dokumentu jako výkaz. Výkaz, který neuvádí, zda počítá relace, identity nebo zařízení, bude čten jako ta jednotka, kterou čtenář očekával.

Vnější adresa není identifikátor

Pole skutečné adresy je adresa a port protějšku tak, jak je vidí server. Několik klientů za jednou přeloženou veřejnou adresou tuto adresu sdílí, takže seskupení podle ní slučuje nesouvisející relace. Port se mezi připojeními také mění, což dvojici činí nepoužitelnou jako stabilní klíč. Výkaz seskupený tímto způsobem vypadá přesně a je chybný.

Pro seskupování používejte efektivní identitu klienta a adresu berte jako detail přenosu. Když dva řádky sdílejí identitu, obvykle to znamená souběžné relace, nikoli duplicitní záznam.

Řádky směrování nejsou inventář hostitelů

Záznam směrování může pojmenovat podsíť, za kterou odpovídá jeden protějšek, a podsíť není seznam jejích hostitelů. Server ví, že má tento rozsah posílat konkrétní relaci, a netuší, které z těch strojů jsou zapnuté, ověřené v aplikaci nebo někomu užitečné. Směrovací tabulka popisuje dosažitelnost, ne obsazenost. Právě tento rozdíl je celý důvod, proč VPN nemůže odpovědět na otázku inventáře.

Několik řádků může také ukazovat na stejný protějšek, protože lokalita může inzerovat více než jeden rozsah. Počítat řádky a nazývat výsledek počtem zařízení nadhodnocuje nasazení o libovolný faktor.

Pokud je požadavek skutečně inventářem aktiv, použijte inventurní proces, který tu síť vlastní. VPN dokáže určit, který protějšek nese trasu, a to je jiný fakt než to, kteří hostitelé za ním existují.

Stáří, oprávnění a živý pohled

U každé odpovědi uchovávejte čas změny souboru. Server, který se zastavil před hodinami, ponechá svůj poslední snímek na místě, a zastaralý soubor vydávaný za aktuální je horší než žádný výkaz.

Adresář musí existovat a být zapisovatelný pro účet, pod kterým služba skutečně běží, na což se po kole zpevňování snadno zapomíná. Soubor obvykle obsahuje názvy a adresy, proto jej držte na administrativním místě, a ne kdekoli, odkud jej může webový server vydávat. Oprávnění kontrolujte z účtu služby, ne ze svého shellu. Snímek, který tiše přestane aktualizovat, vypadá přesně jako tichá síť.

Pro potřeby řízené událostmi používejte podporované rozhraní pro správu místo rychlejšího dotazování. Berte toto rozhraní jako řízení, ne jako metriky, a nikdy je nevystavujte na internet jen kvůli počítání relací.