Vixía os pares VPN sen rexistrar onde navegan

Vixiar un par VPN necesita catro feitos, e ningún deles é un destino. Se o túnel está activo, cando intercambiou tráfico por última vez, que claves interveñen e canto se moveu abonda para a dispoñibilidade. Calquera cousa máis aló diso é un rexistro sobre unha persoa, e debería ser unha decisión deliberada en lugar dun efecto secundario de abrir unha páxina de estado. Empeza pola pregunta que debes responder e despois escolle a saída máis pequena que a responda.

Decide a pregunta antes ca ferramenta

Escribe primeiro a pregunta operativa: este par está conectado e move tráfico? Esa pregunta necesita unha vista en vivo, e unha vista en vivo non ten problema de retención. Unha segunda pregunta, se o par estaba conectado ás 02:00 do martes pasado, necesita unha serie almacenada e, por tanto, unha decisión de retención. Separar esas dúas é todo o deseño, porque a vista en vivo é barata mentres que a serie almacenada se converte nunha conversación sobre protección de datos.

Mantén a comprobación de saúde separada da saída de estado. Un handshake recente demostra que o túnel negociou, non que a aplicación privada detrás funcione, así que proba a aplicación mediante unha comprobación autorizada en lugar de inferilo dos contadores. Cando a comprobación falla e o handshake é recente, o problema está máis aló do túnel.

Le os tres campos que a responden

A saída de estado simple de WireGuard leva a interface, a clave pública, o punto final, o último handshake e os contadores de transferencia. A presenza necesita a clave pública e o último handshake; se fai falta, engade os contadores de bytes para ver movemento. O punto final non se necesita para a presenza e é o primeiro campo que hai que descartar, porque identifica desde onde se conecta un dispositivo. A páxina do manual describe cada campo que imprime a ferramenta, e é o bastante curta para lela unha vez:

wg show
wg show wg0 latest-handshakes

Le eses números como idades en lugar de como booleanos. Un handshake só é actual respecto do intervalo de renovación de claves do propio protocolo, e un contador que non se moveu pode significar un par inactivo en lugar dun roto. Mantén ambos na mesma vista para que a idade e o movemento se lean xuntos.

Escolle un intervalo que poidas defender

Cada mostra de estado é un rexistro, así que o intervalo é unha decisión de retención cunha etiqueta de vixilancia. Unha mostra cada dez segundos dá detalle fino e multiplica as filas almacenadas, mentres que unha mostra cada minuto adoita abondar para a dispoñibilidade a unha sexta parte do custo. Escolle o intervalo a partir do tempo de resposta que prometiches e non do que a ferramenta pode facer. Despois escribe o número ao lado do panel.

Para OpenVPN, o servizo de estado escribe un ficheiro nun intervalo configurado. Na configuración do servidor iso vese así status /var/log/openvpn-status.log 60, onde o número final son os segundos entre reescrituras, e o ficheiro substitúese en lugar de engadirse. Ese detalle importa: un ficheiro substituído non ten historial, mentres que un colector que lle engade crea un.

Confirma que o colector tamén respecta o intervalo. Unha ferramenta que mostra cada segundo e garda unha fila por minuto segue lendo cada segundo.

Mantén as etiquetas estables e a correspondencia restrinxida

Unha clave pública identifica unha relación de dispositivo mesmo cando non hai ningún nome adxunto, así que trata a clave como dato persoal en lugar de como identificador opaco. Etiqueta os pares con identificadores internos estables que sobrevivan ás reconexións, e mantén a correspondencia de identificador a persoa nun lugar restrinxido. Un panel que escribe unha serie temporal é un rexistro almacenado mesmo cando a VPN non garda ningún ficheiro propio. Cando o panel é o único almacén, o panel é onde se aplica a regra de retención.

Revisa tamén a ruta de exportación, porque un CSV copiado sobrevive ao sistema que o produciu. A dispoñibilidade agregada adoita abondar para un informe: a proporción de pares cun handshake dentro da xanela responde a pregunta operativa sen enumerar quen estaba conectado e cando.

Documenta que recolles e que non

Escribe a descrición da recollida en linguaxe clara: que campos, de que interface, con que intervalo, gardados onde, conservados canto tempo e quen pode lelos. Pon a ao lado do runbook e non nun repositorio de políticas que ninguén abre durante un incidente. A descrición tamén debería dicir que non pode ver a vixilancia, porque iso é o que impide que alguén asuma que a ausencia de datos de navegación significa a ausencia de rexistros.

Revisa a xanela de retención sempre que cambie a vixilancia, porque un campo novo amplía en silencio o que se conserva. Despois borra o que a descrición di que borras, e verifica que o borrado se produciu de verdade.