Nola bidali gailu baten erregistroak urruneko biltzaile batera modu seguruan

Gailuak erregistroak igor ditzake, biltzailea interneteko beste aldean dago, eta denek egiten duten lehen galdera zein tunel eraiki da. Esparru hori leku okerretik hasten da. Garraioa gailuak sortu dezakeen formatuak, biltzaileak onartuko duen autentifikazioak eta esteka erortzen denean «entregatuta» zer esan nahi duenak erabakitzen dute. Idatzi hiru erantzun horiek, eta garraioak normalean bere burua aukeratzen du.

Hasi gailuak igor dezakeenarekin

Praktikan hiru forma baino ez daude. UDP edo TCP bidezko syslog gertaera indibidualak, produktuan txertatutako HTTPS karga autentifikatua, edo diskoan idatzitako fitxategi osoak, mugitu behar direnak. UDP syslog soilik bidal dezakeen suebaki bat ez da TLS igorle bihurtuko tunel bat gehitu duzulako; datagrama aitorpenik gabekoak bidaltzen jarraituko du, orain gutun-azal zifratu baten barruan.

Beraz, lehenengo inbentariatzen igorlea: protokoloa, TLS euskarria eta zein TLS liburutegi, biltzailearen ziurtagiria balidatu dezakeen, bezero ziurtagiri bat aurkez dezakeen eta bidalketa-bufferrak berrabiaraztea gainditzen duen. Gailuak egin ezin duen guztia bidean beste zerbaiten ardura da, eta beste zerbait hori zure diseinuaren parte bihurtzen da.

TLS syslog: biderik laburrena bi muturrek hitz egiten dutenean

Gailuak TLS bidezko syslog onartzen badu eta biltzaileak hura amaitzen badu, erabili hori eta gelditu. Aplikazio-protokoloak bere burua babesten du, biltzaileak igorlea autentifikatzen du, eta ez dago orain bere eskuragarritasunaren jabe zaren jauzi gehigarririk. Kakoa da «TLS syslog» ezarpen sorta zabala estaltzen duela, eta syslog segururako egungo jarraibideak tutoretzaharretako zifratze-zerrendetatik haratago joan direla, eta horregatik bidaltzaile funtzional bat hausten da liburutegia eguneratu ondoren.

rsyslog-en, garraio-moduluaren izenak berak esaten dizu zein garaitan zauden: lmnsd_gtls-k GnuTLS biltzen du, eta lmnsd_ossl-k OpenSSL biltzen du, eta hori da uneko 8.x paketeek dakartena. Ziurtagiriaren balidazioa duen birbidaltze-ekintza gutxi gorabehera horrela ikusten da, eta merezi du parametro-izen zehatzak instalatutako bertsioarekin egiaztatzea:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Egiaztatu amaiera-puntua igorlea araztu aurretik. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error-k kate baliodun batekin esku-ematea osatzen du, edo zein egiaztapenek huts egin duen zehazki esaten dizu. Gailutik probatu, zure eramangarritik ez, gailuaren konfiantza-biltegia baita garrantzitsua.

SFTP: ona fitxategietarako, okerra fluxuetarako

Fitxategietan oinarritutako entrega errotazio-erregistroak idazten dituzten gailuetarako egokia da, eta beste ezer ez. SSH bidezko transferentziak ostalari-gakoak, kontu bakoitzeko gakoak eta auditatu dezakezun fitxategi-sistema ematen dizkizu, eta hori sinesgarritasun-istorio zentzuzkoa da TLS egiteko gai ez den gailu batentzat. Aukera txarra da gertaera-fluxuetarako, non «fitxategia orduro idazten da» esateak eten batek uneko orduaren buztana kostatzen dizula esan nahi duen.

Mantendu ostalariaren egiaztapena piztuta. Prompt bat saihesteko hura desaktibatzen duen batch deiak garraioak duen autentifikazio bakarra suntsitzen du:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Ainguratu ostalari-gakoa kontuaren known_hosts fitxategian horniduran zehar, mugatu kontua helburuko direktoriora, eta hobetsi internal-sftp azpisistema chroot-ekin. Planifikatu berbidalketa-istorioa ere: fitxategi bat hutsegite partzial baten ondoren berriz bidaltzen bada, biltzaileak bikoiztua fitxategi berri batetik bereizi behar du, normalean izenaren eta kontrol-batuketaren bidez, iritsiera-orduaren bidez baino.

Tokiko ate bat edo tunel bat erantzun zintzoa denean

Gailu batzuek inork erakutsi nahi ez duen formatuan soilik hitz egin dezakete. Kasu horretan, gailuaren sareko biltzaile baimendu batek jatorrizko formatua jasotzen du eta TLS bidez birbidaltzen du. Diseinu zilegia da, baina izan zehatza zer erosten duen esatean: atean hasten den zifratzeak ez du atzeraeraginez babesten gailuaren eta atearen arteko segmentua, beraz jauzi horrek oraindik bere konfiantza-muga eta sarbide-kontrola behar ditu.

Gune edo gailu tunel bideratu bat aukerarik astunena da eta egokia biltzaileak helbide pribatu bat mantendu behar duenean eta hainbat zerbitzu eraman behar dituenean, ez soilik erregistroak. Helbide-plangintza, sarbide-arauak, itzulera-bideak eta tuneleko amaiera-puntuaren bizi-zikloa ekartzen ditu. Barne-protokoloa ere ez du hobetzen: IPsec tunel baten barruko UDP syslog oraindik entrega-aitorpenik gabeko datagrama zerbitzua da.

Aukeratzen duzuna aukeratu, mantendu biltzailearen baimena garraioa baino estuago. Tunelaren identitatea amaiera-puntu batena da, eta ez du ezer esaten mezu batean ostalari-izen eremu jakin bat zein gailu beheragok sortu zuen.

Idatzi entregatze-kontratua bidali aurretik

Zifratzeak, autentifikazioak eta atxikipenak galdera desberdinei erantzuten diete, eta ilara ez da atxikipen-politika. Lehen erregistroa gailutik irten aurretik, erabaki zer esan nahi duen aitorpen batek biltzaile honetan: sarean jasota, prozesatzeko onartuta edo biltegian modu iraunkorrean idatzita. Hiru berme desberdin dira eta azkenak soilik gainditzen du biltzailearen berrabiaraztea.

Gero erantzun idatziz eragiketa-galderak. Non itxaroten dute bidali gabeko gertaerek, eta buffer horrek argindar-etena gainditzen du? Zer gertatzen da betetzen denean, eta nori jakinarazten zaio? Nola mugatzen dira berriz saiatzeak, eta nola identifikatzen dira bikoiztuak? Zein eremuk frogatzen du igorlearen identitatea, birbidaltze-jauzi batek ostalari-izena berridatz dezakeela kontuan hartuta?

Eduki diseinua paragrafo batean azaltzeko bezain txiki: beharrezko gertaerak daramatzan garraio onartu txikiena, gehi ematen ez dituen bermeen adierazpen esplizitua. Erantzunak bi jauzi behar baditu, esan runbookean eta eman jauzi bakoitzari arduradun bat.