Ble dylai gweinydd OpenVPN ysgrifennu ei log, a pham

Mae cynllun log yn ateb tri chwestiwn: pa broses a gynhyrchodd gofnod, ble mae'r cofnod hwnnw'n glanio a chyn hired ag y mae'n goroesi. Gall OpenVPN ysgrifennu i ffeil, trosglwyddo negeseuon i gofrestrydd y system neu eu gadael i'r hyn y mae'r rheolwr gwasanaeth yn ei ddal, ac nid yw'r rhain yn dair copi o un ffrwd. Mae pob dewis yn newid pwy sy'n berchen ar y cylchdroi, pa ddefnyddiwr all ddarllen y canlyniad a beth sy'n digwydd yn ystod cychwyn. Setlwch yr atebion cyn digwyddiad, oherwydd ar ôl hynny byddwch yn etifeddu'r hyn sydd wedi'i ffurfweddu.

Yr hyn y mae'r daemon yn ei wneud mewn gwirionedd â'r gorchymyn

Nid yw'r gorchmynion yn haniaethau; mae pob un yn penderfynu ble mae'r broses yn ysgrifennu ei negeseuon. Mae log /path yn agor y ffeil honno, mae log-append /path yn ei hagor ar gyfer ychwanegu, ac mae syslog yn trosglwyddo negeseuon i gofrestrydd lleol y system drwy ei soced. Heb yr un ohonynt, mae'r allbwn yn mynd i'r allbwn safonol a'r rheolwr gwasanaeth sy'n penderfynu beth sy'n digwydd nesaf. Darllenwch yr uned effeithiol a'r proffil gyda'i gilydd cyn dod i'r casgliad bod y daemon yn anwybyddu eich ffurfweddiad.

Mae'r achos olaf yn gyffredin mewn gosodiad pecyn, ac mae'n esbonio pam mae dau weinyddwr yn anghytuno ynghylch ble mae'r log yn byw. Mae un yn darllen journal yr uned, a'r llall yn darllen ffeil na ysgrifennodd y daemon erioed.

Gwiriwch y ffurfweddiad sy'n rhedeg yn hytrach na'r ffeil ar y disg. Gall gorreolydd uned math drop-in neu ffeil amgylchedd newid y gorchymyn effeithiol heb gyffwrdd â'r proffil rydych yn ei ddarllen.

log yn torri, log-append ddim

Mae log yn torri ffeil bresennol pan ddaw'r gorchymyn i rym, felly mae ailgychwyn yn dileu'r dystiolaeth o'r blaen. Mae log-append yn cadw'r hyn sydd yno ac yn ychwanegu. Nid yw'r un o'r opsiynau yn cylchdroi unrhyw beth, ac nid yw'r un yn ailagor y ffeil yn ddiweddarach ar ei liwt ei hun, a dyna pam mae angen cydweithio ar gyfer cylchdroi.

Os yw'r cylchdroi yn ailenwi'r ffeil tra mae'r daemon yn parhau i ysgrifennu i'r hen ddisgrifydd, mae'r ffeil newydd yn aros yn wag ac mae defnydd y disg yn parhau i godi yn yr un a ailenwyd. Anfonwch signal at y broses i ailagor, neu gylchdrowch gyda strategaeth copi-a-thorri a derbyniwch y ffenestr gopïo.

Mae'r cyfeiriadur, y perchnogaeth a'r caniatâd yn rhan o'r cynllun, ac maent yn gysylltiedig â'r broses osod. Gall y daemon redeg fel defnyddiwr heb fraint ar ôl cychwyn, ac efallai na fydd cyfeiriadur a grëwyd gan root yn ystod y gosodiad yn ysgrifennadwy bryd hynny. Paratowch ef drwy'r pecynnu neu'r broses osod yn lle trwsio caniatâd yn ystod digwyddiad.

Mae'r rheolwr gwasanaeth yn cadw ail gopi

Mae systemd yn dal yr allbwn safonol a'r gwall safonol yn ddiofyn, felly mae gan uned heb ailgyfeirio penodol log yn barod. Mae ychwanegu gorchymyn ffeil yn rhoi dau ffrwd â chyfnod cadw, darllenwyr a stampiau amser gwahanol.

Nid yw hynny'n anghywir yn awtomatig, ond rhaid iddo fod yn benderfyniad. Cadwch y cofnod cychwyn yn y journal, oherwydd nid yw methiannau cyn bod y ffeil a ffurfweddwyd yn bodoli yn ymddangos yn unman arall. Yna gwnewch y ffeil yn awdurdodol ar gyfer digwyddiadau mewn cyflwr sefydlog a dywedwch hynny yn y runbook. Mae dau ffrwd awdurdodol yn golygu dau ateb i bob cwestiwn.

Cadarnhewch y dewis gyda phrawf sy'n methu'n fwriadol. Cychwynnwch y daemon gyda thystysgrif annarllenadwy a gwiriwch pa ffrwd sy'n cofnodi'r gwall.

Nid yw manylder yr un peth â manylder defnyddiadwy

Mae lefel verb uwch yn ychwanegu mwy o linellau, ac ar ôl pwynt penodol linellau nad oes neb yn eu darllen. Mae lefel 3 yn gyflwr sefydlog rhesymol ar gyfer y rhan fwyaf o osodiadau, tra bo lefel 4 ac uwch yn addas ar gyfer ymchwiliad cyfyngedig â chwestiwn hysbys. Mae atal ailadrodd yn lleihau sŵn, ond ni ddylai guddio pa mor aml y mae digwyddiad yn ailadrodd. Gosodwch y lefel y gallwch ei chynnal, a chodwch hi dim ond ar gyfer ymchwiliad a enwir sydd â diwedd.

Cadwch hunaniaeth y gorffwysfa a'r stampiau amser yn y cofnod. Mae ailgysylltu yn edrych yn union fel cysylltiad cyntaf pan fydd y ffeil wedi cael ei hychwanegu am fisoedd ac enw'r gorffwysfa ar goll.

Byddwch yn ofalus beth arall sy'n glanio yn y ffeil honno. Gall allbwn a ailgyfeiriwyd gynnwys testun o sgriptiau a alwyd, ac mae rhaglen gynorthwyol sy'n argraffu ei hamgylchedd yn rhoi tystlythyrau a llwybrau allwedd yn y log darllenadwy. Triniwch fynediad i'r log fel penderfyniad diogelwch hyd yn oed pan nad yw'r daemon ei hun yn argraffu unrhyw beth sensitif.

Cylchdroi, cadw a'r signalau sy'n ail-lwytho

Penderfynwch y cyfnod cadw gyda'r person sy'n berchen ar y disg, a gosodwch ef cyn i'r gyfrol benderfynu drosoch. Nid yw signal ail-lwytho yn orchymyn cynnal a chadw log: mae anfon yr un anghywir yn ailgychwyn y twnnel ac yn datgysylltu pob defnyddiwr. Ysgrifennwch y weithdrefn ailagor wrth ymyl y rheol gylchdroi fel nad yw'r ddau yn llithro ar wahân.

Dylai'r canlyniad fod yn wasanaeth y gall gweithredwr ei ddisgrifio: un ffrwd awdurdodol, pob digwyddiad wedi'i osod yn y cylch bywyd, a chofnod y gellir ei gael heb gasglu pob ffeil sy'n dal cyfrinachau ar y gwesteiwr. Y disgrifiad hwnnw yw prawf derbyn y cynllun, ac mae ei wirio cyn y digwyddiad nesaf yn rhad.