Monitorizatu VPN kideak non nabigatzen duten erregistratu gabe

VPN kide bat monitorizatzeko lau datu behar dira, eta horietako bat ere ez da helmuga. Tunela martxan dagoen, noiz trukatu zuen trafikoa azken aldiz, zein gako dauden tartean eta zenbat mugitu zen nahikoa da erabilgarritasunerako. Horretatik harago dagoen edozer pertsona bati buruzko erregistroa da, eta erabaki arrazoitua izan beharko luke, ez egoera-orri bat irekitzearen albo-ondorioa. Hasi erantzun behar duzun galderatik, eta gero aukeratu hura erantzuten duen irteerarik txikiena.

Erabaki galdera tresnaren aurretik

Idatzi lehenengo galdera operatiboa: kide hau konektatuta dago, eta trafikoa mugitzen ari da? Galdera horrek zuzeneko ikuspegia behar du, eta zuzeneko ikuspegiak ez du atxikipen arazoarik. Bigarren galdera batek, kidea joan den asteartean 02:00etan konektatuta zegoen ala ez, gordetako serie bat behar du eta, beraz, atxikipen erabaki bat. Bi horiek bereiztea da diseinu osoa, zuzeneko ikuspegia merkea delako, gordetako seriea datuen babeserako elkarrizketa bihurtzen den bitartean.

Mantendu osasun-egiaztapena egoera-irteeratik bereizita ere. Handshake berri batek frogatzen du tunelak negoziatu duela, ez atzean dagoen aplikazio pribatuak funtzionatzen duenik, beraz probatu aplikazioa baimendutako egiaztapen baten bidez, kontagailuetatik ondorioztatu beharrean. Egiaztapenak huts egiten duenean eta handshakea berria denean, arazoa tunelaz harago dago.

Irakurri hiru eremu horiek, galderari erantzuten diotenak

WireGuarden ohiko egoera-irteerak interfazea, gako publikoa, amaierako puntua, azken handshakea eta transferentzia-kontagailuak daramatza. Presentziak gako publikoa eta azken handshakea behar ditu; beharrezkoa bada, gehitu byte-kontagailuak mugimendua ikusteko. Amaierako puntua ez da beharrezkoa presentziarako eta baztertu beharreko lehen eremua da, gailu bat nondik konektatzen den identifikatzen duelako. Eskuliburuaren orriak tresnak inprimatzen duen eremu bakoitza deskribatzen du, eta behin irakurtzeko bezain laburra da:

wg show
wg show wg0 latest-handshakes

Irakurri zenbaki horiek adin gisa, boolear gisa baino. Handshakea protokoloaren beraren gako-berritze tartearekiko soilik da unekoa, eta mugitu ez den kontagailu batek kide inaktiboa ekar dezake, hondatua izan beharrean. Mantendu biak ikuspegi berean, adina eta mugimendua elkarrekin irakurtzeko.

Aukeratu defenda dezakezun tarte bat

Egoera-lagin bakoitza erregistro bat da, beraz tartea monitorizazio-etiketa duen atxikipen erabaki bat da. Hamar segundoko laginak xehetasun fina ematen du eta gordetako errenkadak biderkatzen ditu, minutuko lagin batek erabilgarritasunerako aski izan ohi duen bitartean kostuaren seiren batean. Aukeratu tartea agindu zenuen erantzun-denetik, ez tresnak egin dezakeenetik. Gero idatzi zenbakia panelaren ondoan.

OpenVPN kasuan, egoera-zerbitzuak fitxategi bat idazten du ezarritako tartean. Zerbitzariaren konfigurazioan horrela ikusten da status /var/log/openvpn-status.log 60, non amaierako zenbakia berridazketen arteko segundoak diren, eta fitxategia ordezkatu egiten da, ez gehitu. Xehetasun hori garrantzitsua da: ordezkatutako fitxategiak ez du historiarik, eta hura gehitzen duen biltzaileak historia sortzen du.

Egiaztatu biltzaileak ere tartearekiko errespetua duela. Segundoero lagintzen duen eta minutuko errenkada bat gordetzen duen tresnak oraindik segundoero irakurtzen du.

Mantendu etiketak egonkor eta mapatzea mugatuta

Gako publiko batek gailu-harreman bat identifikatzen du izenik erantsita ez dagoenean ere, beraz tratatu gakoa datu pertsonal gisa, identifikatzaile opaku gisa baino. Etiketatu kideak berriz konektatzeak gainditzen dituzten barne-identifikatzaile egonkorrekin, eta mantendu identifikatzailetik pertsonara mapatzea leku mugatu batean. Denbora-serie bat idazten duen panel bat gordetako erregistroa da, VPNak berak fitxategirik eduki ez arren. Panela biltegi bakarra denean, panelean aplikatzen da atxikipen araua.

Berrikusi esportazio-bidea ere, kopiatutako CSV batek sortu zuen sistema gainditzen duelako. Erabilgarritasun agregatuak askotan aski du txosten batentzat: leihoaren barruan handshakea duten kideen proportzioak galdera operatiboa erantzuten du, nor noiz konektatuta zegoen zerrendatu gabe.

Dokumentatu zer biltzen duzun eta zer ez

Idatzi bilketaren deskribapena hizkera argian: zein eremu, zein interfazetatik, zein tartetan, non gordeta, zenbat denboran edukita eta nork irakur ditzakeen. Jarri runbook-aren ondoan, inork intzidentzia batean irekitzen ez duen politika-biltegi batean jarri beharrean. Deskribapenak ere esan behar du monitorizazioak zer ezin duen ikusi, horixe baita norbaiti nabigazio-daturik ez egoteak erregistrorik ez egotea esan nahi duela pentsatzea eragozten diona.

Berrikusi atxikipen leihoa monitorizazioa aldatzen den bakoitzean, eremu berri batek isilka luzatzen baitu gordetzen dena. Gero ezabatu deskribapenak ezabatzen duzula dioena, eta egiaztatu ezabaketa benetan gertatu dela.