Jälgige VPN-i võrdsõlmi ilma nende sirvimiskohti logimata

VPN-i võrdsõlme jälgimiseks on vaja nelja fakti ja ükski neist ei ole sihtkoht. Kas tunnel on püsti, millal see viimati liiklust vahetas, millised võtmed on kaasatud ja kui palju liikus — sellest piisab kättesaadavuse jaoks. Kõik muu on kirje inimese kohta ja peaks olema teadlik otsus, mitte staatuselehe avamise kõrvalmõju. Alustage küsimusest, millele peate vastama, ja valige seejärel väikseim väljund, mis sellele vastab.

Otsustage küsimus enne tööriista

Kirjutage esmalt operatiivne küsimus: kas see võrdsõlm on ühendatud ja kas see liigutab liiklust? See küsimus vajab reaalajas vaadet ja reaalajas vaatel pole säilitusprobleemi. Teine küsimus, kas võrdsõlm oli eelmisel teisipäeval kell 02:00 ühendatud, vajab salvestatud seeriat ja seega säilitusotsust. Nende kahe eraldamine on kogu disain, sest reaalajas vaade on odav, samas kui salvestatud seeria muutub andmekaitse vestluseks.

Hoidke tervisekontroll ka staatusväljundist eraldi. Hiljutine kätlemine tõestab, et tunnel pidas läbirääkimisi, mitte et selle taga olev privaatrakendus töötab, seega testige rakendust volitatud kontrolliga, mitte ärge tuletage seda loenduritest. Kui kontroll ebaõnnestub ja kätlemine on hiljutine, on probleem tunnelist kaugemal.

Lugege kolme välja, mis sellele vastavad

WireGuardi tavaline staatusväljund sisaldab liidest, avalikku võtit, lõpp-punkti, viimast kätlemist ja edastusloendureid. Kohaloleku jaoks on vaja avalikku võtit ja viimast kätlemist; vajadusel lisage baidiloendurid, et näha liikumist. Lõpp-punkt pole kohaloleku jaoks vajalik ja on esimene väli, millest loobuda, sest see näitab, kust seade ühendub. Juhendi leht kirjeldab iga välja, mille tööriist välja prindib, ja see on piisavalt lühike, et korra lugeda:

wg show
wg show wg0 latest-handshakes

Lugege neid numbreid vanusena, mitte tõeväärtustena. Kätlemine on aktuaalne ainult protokolli enda võtmeuuendusintervalli suhtes ja loendur, mis pole liikunud, võib tähendada jõudeolevat võrdsõlme, mitte katkist. Hoidke mõlemad samas vaates, et vanust ja liikumist koos lugeda.

Valige intervall, mida suudate kaitsta

Iga staatusproov on kirje, seega intervall on säilitusotsus, millel on jälgimissilt. Kümne sekundi proov annab peene detailsuse ja korrutab salvestatud read, samas kui ühe minuti proov on tavaliselt kättesaadavuse jaoks piisav kuuendiku kuluga. Valige intervall lubatud reageerimisaja järgi, mitte selle järgi, mida tööriist suudab. Seejärel kirjutage number armatuurlaua kõrvale.

OpenVPN puhul kirjutab staatusfunktsioon faili seadistatud intervallil. Serveri konfiguratsioonis näeb see välja nii status /var/log/openvpn-status.log 60, kus lõpus olev number on sekundid ümberkirjutuste vahel ja fail asendatakse, mitte ei täiendata. See detail on oluline: asendatud failil pole ajalugu, samas kui seda täiendav koguja loob ajaloo.

Kinnitage, et ka koguja järgib intervalli. Tööriist, mis võtab proovi iga sekund ja salvestab ühe rea minutis, loeb ikkagi iga sekund.

Hoidke sildid stabiilsed ja vastendus piiratud

Avalik võti identifitseerib seadmesuhte ka siis, kui nime küljes pole, seega käsitlege võtit isikuandmena, mitte läbipaistmatu identifikaatorina. Märgistage võrdsõlmi stabiilsete sisemiste identifikaatoritega, mis ühenduste taastamised üle elavad, ja hoidke identifikaatori vastendust inimesega piiratud kohas. Armatuurlaud, mis kirjutab aegrida, on salvestatud kirje ka siis, kui VPN ei pea oma faili. Kui armatuurlaud on ainus hoidla, kehtib säilitusreegel armatuurlaua kohta.

Vaadake üle ka eksporditee, sest kopeeritud CSV elab kauem kui selle tootnud süsteem. Koondatud kättesaadavus on aruande jaoks sageli piisav: akna sees kätlemisega võrdsõlmede osakaal vastab operatiivsele küsimusele ilma loetlemata, kes ja millal ühendatud oli.

Dokumenteerige, mida kogute ja mida mitte

Kirjutage kogumise kirjeldus lihtsas keeles: millised väljad, millisest liidesest, millise intervalliga, kuhu salvestatakse, kui kaua hoitakse ja kes võib neid lugeda. Pange see runbooki kõrvale, mitte poliitikahoidlasse, mida keegi intsidendi ajal ei ava. Kirjeldus peaks ütlema ka, mida jälgimine näha ei suuda, sest just see takistab kellelgi eeldada, et sirvimisandmete puudumine tähendab kirjete puudumist.

Vaadake säilitusaken üle alati, kui jälgimine muutub, sest uus väli pikendab vaikselt hoitavat. Seejärel kustutage see, mille kirjeldus ütleb, et kustutate, ja kontrollige, et kustutamine tõesti toimus.