Dónde debe escribir su registro un servidor OpenVPN, y por qué

Un diseño de registro responde a tres preguntas: qué proceso produjo un registro, dónde aterriza ese registro y cuánto tiempo sobrevive. OpenVPN puede escribir en un archivo, entregar los mensajes al registrador del sistema o dejarlos a lo que capture el gestor de servicios, y no son tres copias de un mismo flujo. Cada elección cambia quién es dueño de la rotación, qué usuario puede leer el resultado y qué ocurre durante el arranque. Resuelva las respuestas antes de un incidente, porque después heredará lo que esté configurado.

Qué hace realmente el demonio con la directiva

Las directivas no son abstracciones; cada una decide dónde escribe el proceso sus mensajes. log /path abre ese archivo, log-append /path lo abre para añadir y syslog entrega los mensajes al registrador local del sistema por su socket. Sin ninguna de ellas, la salida va a la salida estándar y el gestor de servicios decide qué pasa después. Lea la unidad efectiva y el perfil juntos antes de concluir que el demonio ignora su configuración.

Ese último caso es el habitual en una instalación empaquetada, y explica por qué dos administradores discrepan sobre dónde vive el registro. Uno lee el journal de la unidad; el otro, un archivo que el demonio nunca escribió.

Compruebe la configuración en ejecución en lugar del archivo en disco. Una anulación de unidad de tipo drop-in o un archivo de entorno pueden cambiar la directiva efectiva sin tocar el perfil que está leyendo.

log trunca, log-append no

log trunca un archivo existente cuando la directiva entra en vigor, así que un reinicio borra la evidencia anterior. log-append conserva lo que hay y añade a continuación. Ninguna de las dos opciones rota nada, y ninguna reabre el archivo más tarde por sí sola, por eso la rotación necesita cooperación.

Si la rotación renombra el archivo mientras el demonio sigue escribiendo en el descriptor antiguo, el archivo nuevo queda vacío y el uso de disco sigue creciendo en el renombrado. Señale al proceso que reabra, o rote con una estrategia de copiar y truncar y acepte la ventana de copia.

El directorio, la propiedad y los permisos son parte del diseño. El demonio puede ejecutarse como usuario sin privilegios tras el arranque, y un directorio creado por root en la instalación puede no ser escribible entonces. Prepárelo mediante el empaquetado o el proceso de despliegue en lugar de arreglar permisos durante un incidente.

El gestor de servicios guarda una segunda copia

systemd captura la salida estándar y la salida de error de forma predeterminada, así que una unidad sin redirección explícita ya tiene un registro. Añadir una directiva de archivo da dos flujos con retención, lectores y marcas de tiempo distintos.

Eso no es automáticamente incorrecto, pero tiene que ser una decisión. Mantenga el registro de arranque en el journal, porque los fallos anteriores a la existencia del archivo configurado no aparecen en ningún otro sitio. Después haga que el archivo sea autoritativo para los eventos en régimen estable y dígalo en el runbook. Dos flujos autoritativos significan dos respuestas para cada pregunta.

Confirme la elección con una prueba que falle a propósito. Arranque el demonio con un certificado ilegible y compruebe qué flujo registra el error.

La verbosidad no es lo mismo que el detalle utilizable

Un nivel de verb más alto añade más líneas y, pasado cierto punto, líneas que nadie lee. El nivel 3 es un régimen estable razonable para la mayoría de los despliegues, mientras que el nivel 4 y superiores encajan en una investigación acotada con una pregunta conocida. La supresión de repeticiones reduce el ruido, pero no debe ocultar con qué frecuencia se repite un evento. Fije el nivel que pueda sostener y súbalo solo para una investigación con nombre y con final.

Mantenga la identidad de la instancia y las marcas de tiempo en el registro. Una reconexión parece exactamente una primera conexión cuando el archivo lleva meses recibiendo anexos y falta el nombre de la instancia.

Tenga cuidado con lo demás que cae en ese archivo. La salida redirigida puede incluir texto de scripts invocados, y un auxiliar que imprime su entorno pone credenciales y rutas de claves en un registro legible. Trate el acceso al registro como una decisión de seguridad incluso cuando el propio demonio no imprime nada sensible.

Rotación, retención y las señales que recargan

Decida la retención con la persona dueña del disco y fíjela antes de que el volumen decida por usted. Una señal de recarga no es un comando de mantenimiento del registro: enviar la equivocada reinicia el túnel y desconecta a todos los usuarios. Escriba el procedimiento de reapertura junto a la regla de rotación para que ambos no se separen.

El resultado debería ser un servicio que un operador pueda describir: un flujo autoritativo, cada evento situado en el ciclo de vida y un registro obtenible sin reunir todos los archivos con secretos del host. Esa descripción es la prueba de aceptación del diseño, y comprobarla antes del próximo incidente es barato.