Conas logaí feiste a sheoladh go bailitheoir cianda go sábháilte

Is féidir leis an bhfeiste logaí a astú, tá an bailitheoir ar an taobh eile den idirlíon, agus is é an chéad cheist a chuireann gach duine ná cén tollán a thógfar. Tosaíonn an frámaíocht sin san áit mhícheart. Is é an formáid is féidir leis an bhfeiste a tháirgeadh, an fhíordheimhniú a ghlacfaidh an bailitheoir, agus an rud ba chóir do “seachadta” a chiallú nuair a thiteann an nasc a shocraíonn an t-iompar. Scríobh na trí fhreagra sin síos, agus de ghnáth roghnaíonn an t-iompar é féin.

Tosaigh ón rud is féidir leis an bhfeiste a astú

Go praiticiúil níl ach trí chruth ann. Imeachtaí syslog aonair thar UDP nó TCP, uaslódáil HTTPS fhíordheimnithe atá ionsuite sa táirge, nó comhaid iomlána a scríobhtar chuig an diosca agus a chaithfear a bhogadh. Ní thiocfaidh balla dóiteáin nach féidir leis ach syslog UDP a sheoladh chun bheith ina sheoltóir TLS mar gheall gur chuir tú tollán leis; seolfaidh sé datagraim neamh-admhaithe fós, anois taobh istigh de chlúdach criptithe.

Mar sin déan fardal den seoltóir ar dtús: prótacal, tacaíocht TLS agus cén leabharlann TLS, an féidir leis deimhniú an bhailitheora a bhailíochtú, an féidir leis deimhniú cliaint a chur i láthair, agus an maireann an maolán seolta tar éis atosaigh. Caithfidh rud éigin eile ar an gcosán aon rud nach féidir leis an bhfeiste a dhéanamh a dhéanamh, agus tagann an rud eile sin chun bheith ina chuid de do dhearadh.

Syslog TLS: an cosán is giorra nuair a labhraíonn an dá cheann é

Má thacaíonn an fheiste le syslog thar TLS agus má chríochnaíonn an bailitheoir é, bain úsáid as sin agus stop. Cosnaíonn an prótacal feidhmchláir é féin, fíordheimníonn an bailitheoir an seoltóir, agus níl aon léim bhreise a bhfuil a infhaighteacht agat anois. Is é an gaiste ná go gclúdaíonn “syslog TLS” raon leathan cur i bhfeidhm, agus na treoirlínte reatha do syslog sábháilte tar éis bogadh ar aghaidh ó na liostaí sipéir i seanteagaisc, agus is mar sin a thagann seoltóir oibre chun bheith briste tar éis uasghrádú leabharlainne.

Ar rsyslog, insíonn ainm an mhodúil iompair duit féin cén ré ina bhfuil tú: cuimsíonn lmnsd_gtls GnuTLS, agus cuimsíonn lmnsd_ossl OpenSSL agus is é sin a sheolann na pacáistí 8.x reatha. Breathnaíonn gníomh seolta le bailíochtú deimhnithe beagán mar seo, agus is fiú na hainmneacha cruinne paraiméadar a sheiceáil i gcoinne do leagan suiteáilte:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Fíoraigh an críochphointe sula ndéanann tú dífhabhtú ar an seoltóir. Déanann openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error buíochas shála a chríochnú le slabhra bailí nó insíonn sé go beacht cén tseiceáil a theip. Tástáil ón bhfeiste, ní ó do ríomhaire glúine, mar is é stór iontaobhais na feiste an ceann a bhfuil tábhacht leis.

SFTP: maith do chomhaid, mícheart do shruthanna

Oireann seachadadh bunaithe ar chomhaid d'fheistí a scríobhann logaí rothlaithe agus ní dhéanann aon rud eile. Tugann aistriú bunaithe ar SSH duit eochracha óstaigh, eochracha in aghaidh an chuntais agus córas comhad ar féidir leat iniúchadh a dhéanamh air, rud atá ina scéal iontaobhais réasúnta d'fheiste nach féidir léi TLS a dhéanamh ar chor ar bith. Is drochrogha é do shruthanna imeachtaí, áit a chiallaíonn “scríobhtar an comhad gach uair an chloig” go gcosnaíonn briseadh duit eireaball na huaire reatha.

Coinnigh fíorú óstaigh ar siúl. Cliseann gníomh baisce a mhúchann é chun leid a sheachaint an t-aon fhíordheimhniú atá ag an iompar:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Pionnáil an eochair óstaigh in known_hosts an chuntais le linn soláthair, srianaigh an cuntas go dtí an eolaire sprice, agus bíodh tosaíocht ag an bhfochóras internal-sftp le chroot. Pleanáil scéal an athsheolta freisin: má sheoltar comhad arís tar éis teip pháirteach, caithfidh an bailitheoir idirdhealú a dhéanamh idir dúblach agus comhad nua, de ghnáth de réir ainm móide seicseam seachas de réir am teachta.

Nuair is é geata áitiúil nó tollán an freagra macánta

Ní féidir le roinnt feistí ach formáid a labhairt nach bhfuil aon duine ag iarraidh a nochta. Sa chás sin faigheann bailitheoir údaraithe ar ghréasán na feiste féin an fhormáid dhúchasach agus seolann sé ar aghaidh é thar TLS. Is dearadh dlisteanach é sin, ach bí beacht faoi cad a cheannaíonn sé: ní chosnaíonn criptiú a thosaíonn ag an geata an deighleog idir an fheiste agus an geata go haisghníomhach, mar sin tá a theorainn iontaobhais agus a rialú rochtana féin ag teastáil ón léim sin fós.

Is é tollán láithreáin nó feiste ródaithe an rogha is troime agus an ceann ceart nuair a chaithfidh an bailitheoir seoladh príobháideach a choinneáil agus roinnt seirbhísí a iompar, ní hamháin logaí. Tugann sé pleanáil seoltaí, rialacha rochtana, cosáin fillte agus saolré chríochphointe an tolláin. Ní fheabhsaíonn sé an prótacal inmheánach ach an oiread: is seirbhís datagram fós é syslog UDP taobh istigh de thollán IPsec gan admháil seachadta.

Cibé rud a roghnaíonn tú, coinnigh údarú an bhailitheora níos cúinge ná an t-iompar. Baineann céannacht tolláin le críochphointe, agus ní insíonn sé aon rud faoi cén fheiste thíos a tháirg réimse áirithe ainm óstaigh i dteachtaireacht.

Scríobh an conradh seachadta sula seolann tú

Freagraíonn criptiú, fíordheimhniú agus coinneáil ceisteanna éagsúla, agus ní polasaí coinneála é scuaine. Sula bhfágann an chéad log an fheiste, socraigh cad a chiallaíonn admháil i ndáiríre ar an mbailitheoir seo: faighte ar an sreang, glactha le próiseáil, nó scríofa go buan chuig stóráil. Is trí ghealltanas éagsúla iad sin agus ní mhaireann ach an ceann deireanach tar éis atosaigh an bhailitheora.

Ansin freagair na ceisteanna oibriúcháin i scríbhinn. Cá mbíonn imeachtaí nár seoladh ag fanacht, agus an maireann an maolán sin tar éis cliseadh cumhachta? Cad a tharlaíonn nuair a líontar é, agus cé a chuirtear ar an eolas? Conas a theorannaítear iarrachtaí athuair, agus conas a aithnítear dúblaigh? Cén réimse a chruthaíonn céannacht an tseoltóra, ós rud é gur féidir le léim seolta an t-ainm óstaigh a athscríobh?

Coinnigh an dearadh beag go leor le míniú i mbloc amháin: an t-iompar tacaíochta is lú a iompraíonn na himeachtaí riachtanacha, móide ráiteas sainráite faoi na gealltanais nach dtugann sé. Má theastaíonn dhá léim ón bhfreagra, abair é sin sa runbook agus tabhair úinéir do gach léim.