Kiu posedas la protokolojn de OpenVPN: la demono, rsyslog aŭ logrotate?

Protokola rotacio rompiĝas antaŭvideble: tri komponantoj ĉiu opinias, ke ĝi posedas la dosieron, kaj la rezulto estas rotaciita protokolo, kiu daŭre kreskas dum la nova restas malplena. La demono tenas priskribilon, logrotate renomas la vojon, kaj rsyslog skribas tute aliloke. Elektu unu skribanton kaj unu rotaciilon antaŭ ol aldoni alian regulon al la stako. La kontrol-listo sube iras laŭ tiu ordo, ĉar ĉiu posta paŝo dependas de ĝi.

Decidu, kiu skribas la dosieron

Du dezajnoj estas legitimaj. En la unua, la VPN-procezo mem skribas dosieron per sia propra opcio log aŭ log-append. En la dua, ĝi sendas rikordojn al la sistema protokolilo, kaj rsyslog aŭ journald decidas, kie ili alteriĝos.

Ili estas alternativoj, ne tavoloj. Gastiganto, kiu ebligas ambaŭ, finiĝas kun du dosieroj, kiuj malkongruas, kaj tiu, kiun vi legas, ofte estas la malnova. Elektu la vojon intence, poste forigu la alian skribanton.

Legu la efektivan agordon de la servo antaŭ ol ŝanĝi ion ajn, inkluzive de drop-in dosieroj, kiuj povas anstataŭigi la unuan dosieron. Direktivo ĉeestanta en la profilo, kiun vi redaktis, ne estas pruvo, ke ĝi estas tiu, kiun ŝarĝis la kuranta procezo. Komparu la unuon kun la argumentoj de la procezo, poste kun la dosieroj, kiujn ĝi efektive malfermis.

Nomu la demonon por ke la filtrilo estu mallarĝa

Sur la syslog-vojo, donu al la demono apartan identecon kaj filtru laŭ ĝi. Regulo, kiu kongruas kun la programa nomo de ĉi tiu VPN-kazo, tenas ĝiajn rikordojn ekster komuna dosiero, kies konserva politiko apartenas al io alia.

Mallarĝaj reguloj ankaŭ faras la sekvan demandon respondebla: kiu servo produktis ĉi tiun linion? Filtrilo, kiu kongruas kun ĉio enhavanta la vorton VPN, volonte kolektos la trafikon de dua tunelo kaj malklarigos ambaŭ. Kongruu laŭ la ekzakta identigilo, kiun la unuo transdonas al la protokolilo.

Fermu la regulon post la ago, por ke la rikordoj ankaŭ ne falos al la defaŭlta celo. Duoblaj linioj en du dosieroj aspektas kiel protokola cimo kaj fakte estas mankanta halto. Tiu sola preterlaso ankaŭ duobligas la diskokoston de la konserva politiko.

Rotaciu sen perdi la priskribilon

Kiam la demono skribas la dosieron, logrotate renomas la vojon, sed la procezo konservas sian malfermitan priskribilon. Novaj rikordoj daŭrigas en la renomitan dosieron ĝis io igas la procezon reenmalfermi la originan vojon; tial rotacio povas ŝajni funkcii dum la nova dosiero restas malplena.

La solvo estas postrotate-ago, kiu ekigas la dokumentitan reŝarĝan aŭ restartigan konduton de la servo. Sendi signalon al la protokolilo estas tute alia ago kaj faras nenion por demono, kiu tenas sian propran dosieron.

Kie reenmalfermo estas neebla, copytruncate estas la rezerva solvo: kopiu la dosieron, poste tratranĉu ĝin surloke. Ĝi tenas la priskribilon valida kontraŭ la perdo de ĉio skribita inter la kopio kaj la tratranĉo, do ĝi estas interŝanĝo, ne solvo. Sub ŝarĝo tiu breĉo povas engluti ĝuste la paneon, kiun vi provas kapti.

Elektu unu el la du por ĉiu dosiero kaj skribu la elekton, ĉar miksi ilin sur la sama vojo produktas breĉojn, kiujn poste tre malfacilas atribui. Leganto, kiu trovas ambaŭ ŝablonojn en unu dosierujo, ne povas diri, kiu estas aŭtoritata.

Fiksu la konservadon laŭ la fenestro de la okazaĵo

Konservado, kunpremado kaj maksimuma grandeco devus deveni de tio, kiom malproksimen vi efektive esploras. Sep-taga fenestro kun kunpremado kaj grandlimo estas racia elirpunkto por multaj deplojoj; nombro kopiita el lernilo ne estas.

Tenu la politikon en unu loko. Se logrotate rotacias la dosieron kaj rsyslog ankaŭ rotacias ĝin, gajnas la dua rotacio kaj la nomiga skemo de la unua postvivas kiel rubaĵo. Elektu la posedanton, malŝaltu la alian rotacion, kaj notu tiun decidon apud la politiko.

La dokumentaro de rsyslog kovras ĝian enkursigan kaj agan modelon, dum la dokumentaro de la OpenVPN-servo restas aŭtoritata por la propraj protokolaj opcioj de la demono. Neniu el ili decidas vian konservan politikon por vi.

Testu unu rotacion kaj unu novan okazaĵon

Devigu unu solan rotacion kaj poste generu unu novan okazaĵon, ekzemple malsukcesan aŭtentigadon. Konfirmu, ke la nova rikordo aperas en la nova dosiero kaj ke la malnova dosiero ĉesis kreski.

Kontrolu ankaŭ la permesojn de la nova dosiero, ĉar rotacio, kiu rekreas ĝin kun alia posedanto, rompas la skribanton ĉe la sekva skribo kaj produktas breĉon, kiu aspektas kiel paneo. Komparu posedanton kaj reĝimon kun la serva konto antaŭ ol foriri. Poste konfirmu, ke la kunpremita arkivo estas legebla, ĉar arkivo, kiun neniu povas malfermi, ne estas konservado. Rapida legado de la plej nova rikordo en la malnova dosiero pruvas kaj la kunpremadon kaj la permesojn.

Finu per notado de la posedanto de ĉiu paŝo: kiu komponanto skribas, kiu rotacias, kaj kie loĝas la konserva politiko. Tiu noto igas la sekvan protokolan okazaĵon kvinminuta kontrolo anstataŭ posttagmezo da divenado, kiu tavolo perdis la linion.