Observi VPN-kunulojn sen registri, kion ili foliumas

Observi VPN-kunulon bezonas kvar faktojn, kaj neniu el ili estas celo. Ĉu la tunelo estas aktiva, kiam ĝi laste interŝanĝis trafikon, kiuj ŝlosiloj partoprenas kaj kiom moviĝis sufiĉas por disponeblo. Io ajn preter tio estas registro pri persono, kaj ĝi devus esti intenca decido anstataŭ flanka efiko de malfermo de statusa paĝo. Komencu de la demando, kiun vi devas respondi, poste elektu la plej malgrandan eligon, kiu respondas ĝin.

Decidu la demandon antaŭ la ilo

Unue skribu la operacian demandon: ĉu ĉi tiu kunulo estas konektita, kaj ĉu ĝi movas trafikon? Tiu demando bezonas vivan vidon, kaj viva vido havas neniun retenproblemon. Dua demando, ĉu la kunulo estis konektita je 02:00 pasintan mardon, bezonas konservitan serion kaj tial retendecidon. Apartigi tiujn du estas la tuta dezajno, ĉar la viva vido estas malmultekosta dum la konservita serio fariĝas konversacio pri datuma protekto.

Tenu la sanan kontrolon ankaŭ aparte de la statusa eligo. Freŝa manpremo pruvas, ke la tunelo intertraktis, ne ke la privata aplikaĵo malantaŭ ĝi funkcias, do testu la aplikaĵon per rajtigita kontrolo anstataŭ dedukti ĝin el nombriloj. Kiam la kontrolo malsukcesas kaj la manpremo estas freŝa, la problemo situas preter la tunelo.

Legu la tri kampojn, kiuj respondas ĝin

La ordinara statusa eligo de WireGuard portas la interfacon, publikan ŝlosilon, finpunkton, lastan manpremon kaj transigajn nombrilojn. Ĉeesto bezonas la publikan ŝlosilon kaj la lastan manpremon; se necese, aldonu la bajtajn nombrilojn por vidi moviĝon. La finpunkto ne necesas por ĉeesto kaj estas la unua kampo forlasenda, ĉar ĝi identigas, de kie aparato konektiĝas. La paĝo de la manlibro priskribas ĉiun kampon, kiun la ilo presas, kaj ĝi estas sufiĉe mallonga por legi unufoje:

wg show
wg show wg0 latest-handshakes

Legu tiujn nombrojn kiel aĝojn anstataŭ buleaj valoroj. Manpremo estas aktuala nur rilate al la propra ŝlosilrenoviga intervalo de la protokolo, kaj nombrilo, kiu ne moviĝis, povas signifi neaktivan kunulon anstataŭ rompitan. Tenu ambaŭ en la sama vido, por ke aĝo kaj moviĝo estu legataj kune.

Elektu intervalon, kiun vi povas defendi

Ĉiu statusa specimeno estas registro, do la intervalo estas retendecido portanta observan etikedon. Deksekunda specimeno donas delikatan detalon kaj multobligas la konservitajn vicojn, dum unuminuta specimeno kutime sufiĉas por disponeblo je sesono de la kosto. Elektu la intervalon laŭ la responda tempo, kiun vi promesis, anstataŭ laŭ tio, kion la ilo povas. Poste skribu la nombron apud la panelo.

Por OpenVPN, la statusa instalaĵo skribas dosieron je agordita intervalo. En la servila agordo tio aspektas tiel status /var/log/openvpn-status.log 60, kie la nombro ĉe la fino estas la sekundoj inter reskriboj, kaj la dosiero estas anstataŭigata, ne aldonata. Tiu detalo gravas: anstataŭigita dosiero havas neniun historian, dum kolektanto, kiu aldonas al ĝi, kreas historian.

Konfirmu, ke ankaŭ la kolektanto respektas la intervalon. Ilo, kiu specimenas ĉiun sekundon kaj konservas unu vicon por minuto, tamen legas ĉiun sekundon.

Tenu la etikedojn stabilaj kaj la mapadon limigita

Publika ŝlosilo identigas aparatan rilaton eĉ kiam neniu nomo estas alligita, do traktu la ŝlosilon kiel personan datumon anstataŭ kiel netravideblan identigilon. Etikedu kunulojn per stabilaj internaj identigiloj, kiuj postvivas rekonektojn, kaj tenu la mapadon de identigilo al persono en limigita loko. Panelo, kiu skribas temposerion, estas konservita registro eĉ kiam la VPN tenas neniun propran dosieron. Kiam la panelo estas la sola konservejo, la panelo estas kie validas la retenregularo.

Revizuu ankaŭ la eksportan vojon, ĉar kopiita CSV postvivas la sistemon, kiu produktis ĝin. Agregata disponeblo ofte sufiĉas por raporto: la proporcio de kunuloj kun manpremo ene de la fenestro respondas la operacian demandon sen listigi, kiu kiam estis konektita.

Dokumentu, kion vi kolektas kaj kion ne

Skribu la priskribon de kolektado en simpla lingvo: kiuj kampoj, el kiu interfaco, je kiu intervalo, konservitaj kie, tenataj kiom longe, kaj kiu povas legi ilin. Metu ĝin apud la runbook anstataŭ en politika konservejo, kiun neniu malfermas dum okazaĵo. La priskribo ankaŭ devus diri, kion la observado ne povas vidi, ĉar tio malhelpas iun supozi, ke la foresto de foliumaj datumoj signifas la foreston de registroj.

Revizuu la retenfenestron ĉiam, kiam la observado ŝanĝiĝas, ĉar nova kampo kviete etendas tion, kio estas tenata. Poste forigu tion, kion la priskribo diras, ke vi forigas, kaj kontrolu, ke la forigo vere okazis.