Kuhu peaks OpenVPN server oma logi kirjutama ja miks

Logi kujundus vastab kolmele küsimusele: milline protsess tekitas kirje, kuhu see kirje maandub ja kui kaua see püsib. OpenVPN võib kirjutada faili, anda sõnumid süsteemilogile või jätta need sellele, mida teenusehaldur püüab, ja need ei ole ühe voo kolm koopiat. Iga valik muudab seda, kellele kuulub rotatsioon, milline kasutaja saab tulemust lugeda ja mis käivitamise ajal juhtub. Otsustage vastused enne intsidenti, sest hiljem pärite selle, mis on seadistatud.

Mida deemon direktiiviga tegelikult teeb

Direktiivid ei ole abstraktsioonid; igaüks otsustab, kuhu protsess oma sõnumid kirjutab. log /path avab selle faili, log-append /path avab selle lisamiseks ja syslog annab sõnumid kohalikule süsteemilogile oma pistiku kaudu. Ilma nendeta läheb väljund standardväljundisse ja teenusehaldur otsustab, mis edasi juhtub. Lugege kehtivat unitit ja profiili koos, enne kui järeldate, et deemon eirab teie seadistust.

Viimane juhtum on paketipaigalduse puhul tavaline ja selgitab, miks kaks administraatorit ei ole logi asukohas ühel meelel. Üks loeb uniti journali, teine faili, mida deemon kunagi ei kirjutanud.

Kontrollige töötavat seadistust, mitte kettal olevat faili. Drop-in uniti ülekirjutus või keskkonnafail võib muuta kehtivat direktiivi ilma teie loetavat profiili puutumata.

log lõikab, log-append ei

log lõikab olemasolevat faili, kui direktiiv jõustub, nii et taaskäivitus kustutab varasemad tõendid. log-append hoiab selle, mis on, ja lisab. Kumbki valik ei roteeri midagi ja kumbki ei ava faili hiljem ise uuesti, seepärast vajab rotatsioon koostööd.

Kui rotatsioon nimetab faili ümber, samal ajal kui deemon kirjutab edasi vanasse deskriptorisse, jääb uus fail tühjaks ja kettakasutus kasvab ümbernimetatud failis edasi. Signaalige protsessile uuesti avada või roteerige kopeeri-ja-lõika strateegiaga ning nõustuge kopeerimisaknaga.

Kataloog, omand ja õigused on kujunduse osa. Deemon võib pärast käivitust töötada privileegideta kasutajana ja paigaldamise ajal rooti loodud kataloog ei pruugi siis olla kirjutatav. Valmistage see ette pakendamise või juurutamisprotsessi kaudu, mitte parandage õigusi intsidendi ajal.

Teenusehaldur hoiab teist koopiat

systemd püüab vaikimisi standardväljundi ja standardvea, nii et selgesõnalise ümbersuunamiseta unitil on juba logi. Failidirektiivi lisamine annab kaks voogu, mille säilitus, lugejad ja ajatemplid erinevad.

See ei ole automaatselt vale, kuid see peab olema otsus. Jätke käivituskirje journalisse, sest enne seadistatud faili olemasolu toimuvad tõrked ei ilmne kusagil mujal. Seejärel tehke fail püsioleku sündmuste jaoks autoriteetseks ja kirjutage see runbooki. Kaks autoriteetset voogu tähendavad kahte vastust igale küsimusele.

Kinnitage valik testiga, mis ebaõnnestub meelega. Käivitage deemon loetamatu sertifikaadiga ja kontrollige, milline voog vea salvestab.

Põhjalikkus ei ole sama mis kasutatav detail

Kõrgem verb tase lisab rohkem ridu ja pärast teatud punkti ridu, mida keegi ei loe. Tase 3 on enamiku juurutuste jaoks mõistlik püsiseisund, samas kui tase 4 ja kõrgem sobib piiratud uurimiseks teadaoleva küsimusega. Korduste summutamine vähendab müra, kuid ei tohi varjata, kui sageli sündmus kordub. Seadke tase, mida suudate hoida, ja tõstke seda ainult nimetatud uurimise jaoks, millel on lõpp.

Hoidke kirjes instantsi identiteet ja ajatemplid. Taasühendus näeb täpselt välja nagu esimene ühendus, kui faili on kuude jooksul täiendatud ja instantsi nimi puudub.

Jälgige, mis veel sellesse faili satub. Ümbersuunatud väljund võib sisaldada kutsutud skriptide teksti ja abiprogramm, mis trükib oma keskkonna, paneb volitusi ja võtmeteid loetavasse logisse. Käsitlege logile juurdepääsu turvaotsusena ka siis, kui deemon ise ei trüki midagi tundlikku.

Rotatsioon, säilitus ja signaalid, mis uuesti laadivad

Otsustage säilitus koos ketta omanikuga ja määrake see enne, kui maht teie eest otsustab. Uuestilaadimissignaal ei ole logi hoolduskäsk: vale signaal taaskäivitab tunneli ja katkestab iga kasutaja ühenduse. Kirjutage uuestiavamise protseduur rotatsioonireegli kõrvale, et need kaks ei läheks lahku.

Tulemus peaks olema teenus, mida operaator suudab kirjeldada: üks autoriteetne voog, iga sündmus elutsüklisse paigutatud ja kirje, mille saab ilma kõiki saladusi sisaldavaid faile hostist kogumata. See kirjeldus on kujunduse vastuvõtutest ja seda on odav kontrollida enne järgmist intsidenti.