Sut i anfon logiau offer i gasglwr ymhell heb berygl

Gall yr offer allyrru logiau, mae'r casglwr ar ochr arall y rhyngrwyd, a'r cwestiwn cyntaf y mae pawb yn ei ofyn yw pa dwnnel i'w adeiladu. Mae'r fframio hwnnw'n dechrau yn y lle anghywir. Y ffurf y gall yr offer ei chynhyrchu, y dilysiad y bydd y casglwr yn ei dderbyn, a'r ystyr sydd i “wedi'i ddanfon” pan fydd y cyswllt yn methu sy'n penderfynu'r cludiant. Ysgrifennwch y tri ateb hynny, ac fel arfer mae'r cludiant yn dewis ei hun.

Dechreuwch o'r hyn y gall yr offer ei allyrru

Yn ymarferol dim ond tri siâp sydd. Digwyddiadau syslog unigol dros UDP neu TCP, uwchlwytho HTTPS dilysiedig wedi'i adeiladu i mewn i'r cynnyrch, neu ffeiliau cyflawn a ysgrifennir i'r disg y mae'n rhaid eu symud. Ni fydd wal dân a all anfon syslog UDP yn unig yn dod yn anfonwr TLS oherwydd eich bod wedi ychwanegu twnnel; bydd yn dal i anfon datagramau heb eu cydnabod, nawr y tu mewn i amlen wedi'i hamgryptio.

Felly gwnewch rhestr o'r anfonwr yn gyntaf: protocol, cymorth TLS a pha lyfrgell TLS, a all ddilysu tystysgrif y casglwr, a all gyflwyno tystysgrif cleient, ac a yw'r bwffer anfon yn goroesi ailgychwyn. Rhaid i rywbeth arall yn y llwybr wneud unrhyw beth na all yr offer ei wneud, ac mae'r rhywbeth arall hwnnw'n dod yn rhan o'ch dyluniad.

Syslog TLS: y llwybr byrraf pan fo'r ddwy ochr yn ei siarad

Os yw'r offer yn cefnogi syslog dros TLS ac mae'r casglwr yn ei derfynu, defnyddiwch hynny a stopiwch. Mae'r protocol cymhwysiad yn amddiffyn ei hun, mae'r casglwr yn dilysu'r anfonwr, ac nid oes cam ychwanegol y mae ei argaeledd bellach yn eiddo i chi. Y dal yw bod “syslog TLS” yn cwmpasu ystod eang o weithrediadau, ac y canllawiau syslog diogel presennol wedi symud ymlaen o'r rhestrau seiffr mewn tiwtorialau hŷn, a dyna sut mae anfonwr sy'n gweithio yn dod yn un wedi torri ar ôl uwchraddio llyfrgell.

Ar rsyslog, mae enw'r modiwl cludiant ar ei ben ei hun yn dweud wrthych pa gyfnod rydych ynddo: mae lmnsd_gtls yn lapio GnuTLS, tra mae lmnsd_ossl yn lapio OpenSSL a dyna a anfonir gan becynnau 8.x presennol. Mae gweithred anfon gyda dilysu tystysgrif yn edrych yn fras fel hyn, ac mae'n werth gwirio'r enwau paramedr union yn erbyn eich fersiwn wedi'i osod:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Dilyswch y pwynt terfyn cyn i chi ddadfygio'r anfonwr. Mae openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error naill ai'n cwblhau ysgwyd llaw â chadwyn ddilys neu'n dweud yn union pa wiriant a fethodd. Profwch o'r offer, nid o'ch gliniadur, oherwydd storfa ymddiriedaeth yr offer yw'r un sy'n cyfrif.

SFTP: da ar gyfer ffeiliau, anghywir ar gyfer ffrydiau

Mae danfon yn seiliedig ar ffeiliau yn addas ar gyfer offer sy'n ysgrifennu logiau cylchdroi a dim byd arall. Mae trosglwyddo drwy SSH yn rhoi allweddi gwesteiwr, allweddi fesul cyfrif a system ffeiliau y gallwch ei harchwilio, sy'n stori ymddiriedaeth resymol ar gyfer dyfais na all wneud TLS o gwbl. Mae'n ddewis gwael ar gyfer ffrydiau digwyddiadau, lle mae “ysgrifennir y ffeil bob awr” yn golygu bod methiant yn costio cynffon yr awr gyfredol i chi.

Cadwch y dilysu gwesteiwr ymlaen. Mae galwad swp sy'n ei droi i ffwrdd i osgoi anogwr yn trechu'r unig ddilysiad sydd gan y cludiant:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Pinwch yr allwedd gwesteiwr yn known_hosts y cyfrif yn ystod darparu, cyfyngwch y cyfrif i'r cyfeiriadur targed, a ffafriwch yr is-system internal-sftp gyda chroot. Cynlluniwch y stori ailanfon hefyd: os ailanfonir ffeil ar ôl methiant rhannol, rhaid i'r casglwr allu gwahaniaethu dyblyg oddi wrth ffeil newydd, fel arfer yn ôl enw ynghyd â swm gwirio yn hytrach nag yn ôl amser cyrraedd.

Pan fo porth lleol neu dwnnel yn ateb gonest

Mae rhai offer yn gallu siarad yn unig mewn fformat nad oes neb eisiau ei amlygu. Yn yr achos hwnnw mae casglwr awdurdodedig ar rwydwaith yr offer ei hun yn derbyn y fformat brodorol ac yn ei anfon ymlaen dros TLS. Mae hwnnw'n ddyluniad cyfreithlon, ond byddwch yn fanwl am yr hyn y mae'n ei brynu: nid yw amgryptio sy'n dechrau yn y porth yn amddiffyn yn ôl-weithredol y rhan rhwng yr offer a'r porth, felly mae'r cam hwnnw o hyd angen ei ffin ymddiriedaeth a'i reolaeth mynediad ei hun.

Twnnel safle neu ddyfais wedi'i lwybro yw'r opsiwn trymaf a'r un cywir pan fod yn rhaid i'r casglwr gadw cyfeiriad preifat a chludo sawl gwasanaeth, nid logiau yn unig. Mae'n dod â chynllunio cyfeiriadau, rheolau mynediad, llwybrau dychwelyd a chylch bywyd pwynt terfyn y twnnel. Nid yw chwaith yn gwella'r protocol mewnol: mae syslog UDP y tu mewn i dwnnel IPsec yn dal i fod yn wasanaeth datagram heb gydnabyddiaeth danfon.

Beth bynnag a ddewiswch, cadwch awdurdodiad y casglwr yn dynnach na'r cludiant. Mae hunaniaeth twnnel yn perthyn i bwynt terfyn, ac nid yw'n dweud dim am ba offer islaw a gynhyrchodd faes enw gwesteiwr penodol mewn neges.

Ysgrifennwch y contract danfon cyn i chi anfon

Mae amgryptio, dilysu a chadw yn ateb cwestiynau gwahanol, ac nid yw ciw yn bolisi cadw. Cyn i'r log cyntaf adael yr offer, penderfynwch beth yn union y mae cydnabyddiaeth yn ei olygu ar y casglwr hwn: ei dderbyn ar y wifren, ei dderbyn i'w brosesu, neu ei ysgrifennu'n barhaol i storfa. Mae'r rhain yn dri gwarant gwahanol a dim ond yr olaf sy'n goroesi ailgychwyn y casglwr.

Yna atebwch y cwestiynau gweithredol yn ysgrifenedig. Ble mae digwyddiadau heb eu hanfon yn aros, ac a yw'r bwffer hwnnw'n goroesi toriad pŵer? Beth sy'n digwydd pan fydd yn llenwi, a phwy sy'n cael gwybod? Sut mae ailgeisiadau'n cael eu cyfyngu, a sut mae dyblygon yn cael eu hadnabod? Pa faes sy'n profi hunaniaeth yr anfonwr, o gofio y gall cam anfon ailysgrifennu'r enw gwesteiwr?

Cadwch y dyluniad yn ddigon bach i'w egluro mewn un paragraff: y cludiant cefnogiedig lleiaf sy'n cludo'r digwyddiadau gofynnol, ynghyd â datganiad pendant o'r gwarantau nad yw'n eu rhoi. Os oes angen dau gam ar yr ateb, dywedwch hynny yn y runbook a rhowch berchennog i bob cam.