Monitro cymheiriaid VPN heb gofnodi ble maen nhw’n pori

Mae monitro cymar VPN angen pedwar ffaith, ac nid oes yr un ohonynt yn gyrchfan. A yw’r tiwnel i fyny, pryd y cyfnewidiodd draffig ddiwethaf, pa allweddi sydd â rhan, a faint a symudodd — mae’r rhain yn ddigon ar gyfer argaeledd. Mae unrhyw beth y tu hwnt i hynny yn gofnod am berson, a dylai fod yn benderfyniad bwriadol yn hytrach nag yn sgil-effaith o agor tudalen statws. Dechreuwch o’r cwestiwn y mae’n rhaid i chi ei ateb, yna dewiswch yr allbwn lleiaf sy’n ei ateb.

Penderfynwch y cwestiwn cyn yr offeryn

Ysgrifennwch y cwestiwn gweithredol yn gyntaf: a yw’r cymar hwn wedi’i gysylltu, ac a yw’n symud traffig? Mae angen golygfa fyw ar y cwestiwn hwnnw, ac nid oes gan olygfa fyw unrhyw broblem cadw. Mae ail gwestiwn, a oedd y cymar wedi’i gysylltu am 02:00 ddydd Mawrth diwethaf, angen cyfres wedi’i storio ac felly penderfyniad cadw. Gwahanu’r ddau hyn yw’r dyluniad cyfan, oherwydd mae’r olygfa fyw yn rhad tra bo’r gyfres wedi’i storio yn troi’n sgwrs am ddiogelu data.

Cadwch y gwiriad iechyd ar wahân i’r allbwn statws hefyd. Mae ysgydwad llaw diweddar yn profi bod y tiwnel wedi negodi, nid bod y cymhwysiad preifat y tu ôl iddo yn gweithio, felly profwch y cymhwysiad trwy wiriad awdurdodedig yn hytrach na’i gasglu o gowntwyr. Pan fydd y gwiriad yn methu a’r ysgydwad llaw yn ddiweddar, mae’r broblem y tu hwnt i’r tiwnel.

Darllenwch y tri maes sy’n ei ateb

Mae allbwn statws plaen WireGuard yn cario’r rhyngwyneb, yr allwedd gyhoeddus, y pwynt terfyn, yr ysgydwad llaw diweddaraf a’r cowntwyr trosglwyddo. Mae angen yr allwedd gyhoeddus a’r ysgydwad llaw diweddaraf ar gyfer presenoldeb; os oes rhaid, ychwanegwch y cowntwyr beit i weld symudiad. Nid oes angen y pwynt terfyn ar gyfer presenoldeb a dyma’r maes cyntaf i’w ollwng, oherwydd mae’n nodi o ble mae dyfais yn cysylltu. Mae tudalen y llawlyfr yn disgrifio pob maes y mae’r offeryn yn ei argraffu, ac mae’n ddigon byr i’w ddarllen unwaith:

wg show
wg show wg0 latest-handshakes

Darllenwch y rhifau hynny fel oedrannau yn hytrach na booleans. Nid yw ysgydwad llaw yn gyfredol ond o’i gymharu â chyfwng ail-allweddi’r protocol ei hun, ac mae cowntiwr heb symud yn golygu cymar segur yn hytrach nag un wedi torri. Cadwch y ddau yn yr un olygfa fel bod oedran a symudiad yn cael eu darllen gyda’i gilydd.

Dewiswch gyfwng y gallwch ei amddiffyn

Mae pob sampl statws yn gofnod, felly mae’r cyfwng yn benderfyniad cadw mewn label monitro. Mae sampl o ddeg eiliad yn rhoi manylder mân ac yn lluosi’r rhesi a storiwyd, tra bo sampl o un munud fel arfer yn ddigon ar gyfer argaeledd am un rhan o chwech o’r gost. Dewiswch y cyfwng o’r amser ymateb a addawyd gennych yn hytrach nag o’r hyn y gall yr offeryn ei wneud. Yna ysgrifennwch y rhif wrth ymyl y dangosfwrdd.

Ar gyfer OpenVPN, mae’r cyfleuster statws yn ysgrifennu ffeil ar gyfwng wedi’i ffurfweddu. Yn ffurfweddiad y gweinydd mae hynny’n edrych fel hyn status /var/log/openvpn-status.log 60, lle mae’r rhif olaf yn yr eiliadau rhwng ailysgrifennu, ac mae’r ffeil yn cael ei disodli yn hytrach na’i hychwanegu. Mae’r manylyn hwnnw’n bwysig: nid oes hanes gan ffeil a ddisodlwyd, tra bo casglwr sy’n ychwanegu ati yn creu un.

Cadarnhewch fod y casglwr yn parchu’r cyfwng hefyd. Mae offeryn sy’n samplu bob eiliad ac yn storio un rhes y munud yn dal i ddarllen bob eiliad.

Cadwch y labeli’n sefydlog a’r mapio’n gyfyngedig

Mae allwedd gyhoeddus yn nodi perthynas dyfais hyd yn oed pan nad oes enw ynghlwm, felly triniwch yr allwedd fel data personol yn hytrach nag fel dynodydd anneallus. Labelwch gymheiriaid â dynodyddion mewnol sefydlog sy’n goroesi ailgysylltu, a chadwch y mapio o ddynodydd i berson mewn man cyfyngedig. Mae dangosfwrdd sy’n ysgrifennu cyfres amser yn gofnod a storiwyd hyd yn oed pan nad yw’r VPN yn cadw ffeil ei hun. Pan mai’r dangosfwrdd yw’r unig storfa, y dangosfwrdd yw lle mae’r rheol cadw yn berthnasol.

Adolygwch y llwybr allforio hefyd, oherwydd mae CSV a gopïwyd yn byw’n hirach na’r system a’i cynhyrchodd. Mae argaeledd cyfanredol yn aml yn ddigon ar gyfer adroddiad: mae cyfran y cymheiriaid ag ysgydwad llaw o fewn y ffenestr yn ateb y cwestiwn gweithredol heb restru pwy oedd wedi’i gysylltu a phryd.

Dogfennwch beth rydych chi’n ei gasglu a beth nad ydych

Ysgrifennwch y disgrifiad casglu mewn iaith glir: pa feysydd, o ba ryngwyneb, ar ba gyfwng, wedi’u storio ble, yn cael eu cadw am ba hyd, a phwy all eu darllen. Rhowch ef wrth ymyl y runbook yn hytrach nag mewn storfa bolisi nad yw neb yn ei hagor yn ystod digwyddiad. Dylai’r disgrifiad ddweud hefyd beth na all y monitro ei weld, oherwydd dyna sy’n atal rhywun rhag tybio bod absenoldeb data pori yn golygu absenoldeb cofnodion.

Adolygwch y ffenestr gadw pryd bynnag y bydd y monitro’n newid, oherwydd mae maes newydd yn ymestyn yn dawel yr hyn a gedwir. Yna dilëwch yr hyn y mae’r disgrifiad yn dweud eich bod yn ei ddileu, a gwiriwch fod y dileu wedi digwydd mewn gwirionedd.