Hâld VPN-peers yn it each sûnder te loggen wêr’t se browze

It monitoarjen fan in VPN-peer hat fjouwer feiten nedich, en gjin fan harren is in bestimming. Oft de tunnel oan is, wannear’t er foar it lêst ferkear útwiksele, hokker kaaien belutsen binne en hoefolle beweegde, is genôch foar beskikberens. Alles dêrbûten is in registraasje oer in persoan, en it moat in bewuste beslissing wêze ynstee fan in byeffekt fan it iepenjen fan in statuspagina. Begjin by de fraach dy’t jo beantwurdzje moatte, en kies dan de lytste útfier dy’t dy beantwurdet.

Bepaal de fraach foar it helpmiddel

Skriuw earst de operasjonele fraach: is dizze peer ferbûn, en beweecht er ferkear? Dy fraach hat in live byld nedich, en in live byld hat gjin bewaringsprobleem. In twadde fraach, oft de peer ôfrûne tiisdei om 02:00 ferbûn wie, hat in bewarre searje nedich en dus in bewaringsbeslissing. It skieden fan dy twa is it hiele ûntwerp, want it live byld is goedkeap wylst de bewarre searje in petear oer gegevensbeskerming wurdt.

Hâld de sûnenscheck ek apart fan de statusútfier. In resinte handshake bewissiget dat de tunnel ûnderhannele hat, net dat de partikuliere applikaasje derachter wurket, test de applikaasje dus fia in autorisearre check ynstee fan it ôf te lieden fan tellers. As de check mislearret en de handshake is resint, sit it probleem foarby de tunnel.

Lês de trije fjilden dy’t it beantwurdzje

De gewoane statusútfier fan WireGuard befettet de ynterface, de iepenbiere kaai, it einpunt, de lêste handshake en de oerdrachtstellers. Oanwêzigens hat de iepenbiere kaai en de lêste handshake nedich; foegje de byte-tellers ta as it moat, om beweging te sjen. It einpunt is net nedich foar oanwêzigens en is it earste fjild dat ôffalt, want it identifisearret wêr’t in apparaat wei ferbynt. De hânliedingsside beskriuwt elk fjild dat it helpmiddel printsje, en is koart genôch om ien kear te lêzen:

wg show
wg show wg0 latest-handshakes

Lês dy sifers as leeftiden ynstee fan as booleans. In handshake is allinnich aktueel relatyf oan it eigen kaaifernijingsinterval fan it protokol, en in teller dy’t net beweegde kin in idle peer betsjutte ynstee fan in brutsen ien. Hâld beide yn itselde byld sadat leeftyd en beweging tegearre lêzen wurde.

Kies in interval dat jo ferdigenje kinne

Elke statusmonster is in registraasje, dus it interval is in bewaringsbeslissing mei in monitoarringslabel. In monster fan tsien sekonden jout fyn detail en fermannichfâldiget de bewarre rigen, wylst in monster fan ien minút meast genôch is foar beskikberens tsjin in sechde fan de kosten. Kies it interval op basis fan de reaksjetiid dy’t jo tasein hawwe ynstee fan wat it helpmiddel kin. Skriuw dan it getal njonken it dashboard.

Foar OpenVPN skriuwt de statusfoarsjenning in bestân op in konfigurearre interval. Yn ’e serverkonfiguraasje sjocht dat der sa út status /var/log/openvpn-status.log 60, wêr’t it getal oan ’e ein de sekonden tusken weromskriuwen is, en it bestân wurdt ferfongen ynstee fan taheakke. Dat detail is fan belang: in ferfongen bestân hat gjin skiednis, wylst in samler dy’t deroan taheakket ien makket.

Befêstigje dat de samler it interval ek respektearret. In helpmiddel dat elke sekonde in monster nimt en ien rige per minút bewarret, lêst noch altyd elke sekonde.

Hâld de labels stabyl en de mapping beheind

In iepenbiere kaai identifisearret in apparaatrelaasje sels as der gjin namme oan ferbûn is, behannelje de kaai dus as persoanlike gegevens ynstee fan as in ûntrochsichtige identifikaasje. Label peers mei stabile ynterne identifikaasjes dy’t werferbiningen oerlibje, en hâld de mapping fan identifikaasje nei persoan op in beheind plak. In dashboard dat in tiidsearje skriuwt is in bewarre registraasje sels as de VPN gjin eigen bestân hâldt. As it dashboard it iennige bewarplak is, is it dashboard wêr’t de bewaringsregel jildt.

Besjoch ek it eksportpaad, want in kopiaarre CSV oerlibbet it systeem dat it makke hat. Gearfoege beskikberens is faak genôch foar in rapport: it oanpart peers mei in handshake binnen it finster beantwurdet de operasjonele fraach sûnder te listen wa wannear ferbûn wie.

Dokumintearje wat jo sammelje en wat jo net sammelje

Skriuw de sammelbeskriuwing yn ienfâldige taal: hokker fjilden, fan hokker ynterface, op hokker interval, wêr’t bewarre, hoe lang holden, en wa’t it lêze kin. Set it njonken de runbook ynstee fan yn in beliedsbewarplak dat nimmen by in ynsidint iepenet. De beskriuwing moat ek sizze wat de monitoarring net sjen kin, want dat is wat immen tsjinhâldt om oan te nimmen dat it ûntbrekken fan browzedata it ûntbrekken fan registraasjes betsjut.

Besjoch it bewaringsfinster eltse kear as de monitoarring feroaret, want in nij fjild ferlingt stilwei wat bewarre wurdt. Wiskje dan wat de beskriuwing seit dat jo wiskje, en ferifiearje dat it wiskjen echt bard is.