Statussdosiero kalkulas sesiojn, ne la LAN malantaŭ ili

Iu demandas kiom da maŝinoj estas en la VPN, kaj la statussdosiero prezentiĝas kiel pruvo. Ĝi respondas pli mallarĝan demandon: kiom da sesioj ekzistas en ĉi tiu snapŝoto, kaj kiujn virtualajn adresojn la servilo enkursigas. La breĉo inter tiuj du demandoj estas kie loĝas la plej multaj raportaj eraroj, kaj fermi ĝin komenciĝas per legado de la propraj kaplinioj de la dosiero.

Kion la snapŝoto efektive enhavas

La dosiero estas skribata en intervalo kiam statusa eligo estas agordita por tiu servila instanco, do ĝi estas perioda bildo kaj ne viva fluo. Ĝiaj sekcioj listigas sesiojn kaj internan enkursigan staton aparte, kaj la formatversio decidas la kolumnan aranĝon.

status /run/openvpn/office.status 30
status-version 3

Versio 3 skribas tab-separitajn kampojn kun kaplinia vico, dum pli malnovaj formatoj diferencas kaj pli novaj versioj povas aldoni kampojn. Legu la kaplinion anstataŭ hardkodi kolumnan numeron, ĉar skripto kiu supozas poziciojn rompiĝas silente ĉe la sekva ĝisdatigo.

Kalkulu sesiojn, ne homojn aŭ maŝinojn

Unu reteja konekto povas porti trafikon por pluraj rajtigitaj maŝinoj malantaŭ ĝi. Unu persono ankaŭ povas teni pli ol unu sesion samtempe, el tekkomputilo kaj telefono. Neniu el tiuj ŝablonoj videblas en la kalkulo, kaj tial konektitaj uzantoj havas sencon nur post kiam vi difinas la unuon. Demandu kiun unuon la raporto bezonas antaŭ ol iu komencas kalkuli.

Se la nombro gravas por licencado aŭ kapacito, difinu la unuon en la sama dokumento kiel la raporto. Raporto kiu ne deklaras ĉu ĝi kalkulas sesiojn, identecojn aŭ aparatojn estos legata kiel tiu unuo, kiun la leganto atendis.

La ekstera adreso ne estas identigilo

La kampo de la reala adreso estas la peer-adreso kaj la pordo kiel la servilo vidas ilin. Pluraj klientoj malantaŭ unu tradukita publika adreso dividas tiun adreson, do grupigo laŭ ĝi kunfandas nerilatajn sesiojn. La pordo ankaŭ ŝanĝiĝas inter konektoj, kio igas la paron senutila kiel stabila ŝlosilo. Raporto grupigita tiel aspektas preciza kaj estas malĝusta.

Uzu la efektivan klientan identecon por grupigo, kaj traktu la adreson kiel transportan detalon. Kiam du vicoj dividas identecon, tio kutime signifas samtempajn sesiojn kaj ne duoblan rikordon.

Enkursigaj vicoj ne estas gastiganta inventaro

Enkursiga rikordo povas nomi subreton pri kiu unu peer respondecas, kaj subreto ne estas listo de ĝiaj gastigantoj. La servilo scias, ke ĝi devas sendi tiun gamon al aparta sesio, kaj ĝi tute ne scias, kiuj el tiuj maŝinoj estas ŝaltitaj, aŭtentigitaj en aplikaĵo aŭ utilaj por iu. La enkursiga tabelo priskribas atingeblon, ne okupitecon. Tiu diferenco estas la tuta kialo, kial VPN ne povas respondi inventaran demandon.

Pluraj vicoj ankaŭ povas montri al la sama peer, ĉar retejo povas anonci pli ol unu gamon. Kalkuli vicojn kaj nomi la rezulton aparata kalkulo troigas la deplojon per arbitra faktoro.

Se la postulo estas vere havaĵa inventaro, uzu la inventaran procezon kiu posedas tiun reton. La VPN povas identigi kiun peer portas enkursigon, kaj tio estas malsama fakto ol kiuj gastigantoj ekzistas malantaŭ ĝi.

Aĝo, permesoj kaj viva vido

Konservu la modifan tempon de la dosiero kun ĉiu respondo. Servilo kiu haltis antaŭ horoj lasas sian lastan snapŝoton surloke, kaj malaktuala dosiero prezentata kiel nuna estas pli malbona ol nenia raporto.

La dosierujo devas ekzisti kaj esti skribebla de la konto sub kiu la servo efektive funkcias, kio facile forgesiĝas post malmoliga rondo. La dosiero kutime enhavas nomojn kaj adresojn, do tenu ĝin en administra loko kaj ne ie ajn, de kie retservilo povas servi ĝin. Kontrolu la permesojn el la serva konto, ne el via ŝelo. Snapŝoto kiu silente ĉesas ĝisdatiĝi aspektas ekzakte kiel trankvila reto.

Por event-aktivigitaj bezonoj, uzu la subtenatan administran interfacon anstataŭ pli rapida enketado. Traktu tiun interfacon kiel regadon, ne kiel metrikojn, kaj neniam elmetu ĝin al la interreto nur por kalkuli sesiojn.