O ficheiro de estado conta sesións, non a LAN detrás
Unha instantánea lista sesións VPN e estado de encamiñamento, non cada máquina detrás dun sitio. Lea xuntos as cabeceiras, os tipos de rexistro e a idade do ficheiro.
Alguén pregunta cantas máquinas hai na VPN, e o ficheiro de estado preséntase como proba. Responde a unha pregunta máis estreita: cantas sesións existen nesta instantánea e que enderezos virtuais encamiña o servidor. A fenda entre esas dúas preguntas é onde viven a maioría dos erros de informe, e pechala comeza por ler as cabeceiras do propio ficheiro.
Que contén realmente a instantánea
O ficheiro escríbese a intervalos cando a saída de estado está configurada para esa instancia de servidor, así que é unha imaxe periódica e non un fluxo en directo. As súas seccións listan as sesións e o estado interno de encamiñamento por separado, e a versión do formato decide a disposición das columnas.
status /run/openvpn/office.status 30
status-version 3A versión 3 escribe campos separados por tabuladores cunha fila de cabeceira, mentres que os formatos antigos difiren e as versións posteriores poden engadir campos. Lea a cabeceira en lugar de fixar un número de columna, porque un script que supón posicións rompe en silencio na seguinte actualización.
| Record | What it describes | What it cannot tell you |
|---|---|---|
| Client list | A session in this snapshot | How many people or machines that session represents |
| Real address | The outer peer address and port | Which device is behind it |
| Routing rows | Virtual addresses and route ownership | Which downstream hosts are alive |
Conte sesións, non persoas nin máquinas
Unha soa conexión de sitio pode transportar tráfico de varias máquinas autorizadas detrás. Unha soa persoa tamén pode manter máis dunha sesión á vez, desde un portátil e un teléfono. Ningún deses patróns se ve no reconto, e por iso os usuarios conectados só teñen sentido cando se define a unidade. Pregunte que unidade necesita o informe antes de que alguén comece a contar.
Se o número importa para licenzas ou capacidade, defina a unidade no mesmo documento que o informe. Un informe que non indica se conta sesións, identidades ou dispositivos lerase como a unidade que o lector esperaba.
O enderezo exterior non é un identificador
O campo de enderezo real é o enderezo e o porto do par tal como os ve o servidor. Varios clientes detrás dun enderezo público traducido comparten ese enderezo, así que agrupar por el fusiona sesións sen relación. O porto tamén cambia entre conexións, o que fai o par inútil como clave estable. Un informe agrupado así parece preciso e é incorrecto.
Use a identidade efectiva do cliente para agrupar, e trate o enderezo como detalle de transporte. Cando dúas filas comparten unha identidade, normalmente significa sesións simultáneas e non un rexistro duplicado.
As filas de encamiñamento non son inventario de equipos
Unha entrada de encamiñamento pode nomear unha subrede da que un par é responsable, e unha subrede non é unha lista dos seus equipos. O servidor sabe que debe enviar ese rango a unha sesión concreta, e non ten idea de cales desas máquinas están acendidas, autenticadas nunha aplicación ou son útiles para alguén. A táboa de encamiñamento describe accesibilidade, non ocupación. Esa diferenza é toda a razón pola que unha VPN non pode responder a unha pregunta de inventario.
Varias filas tamén poden apuntar ao mesmo par, porque un sitio pode anunciar máis dun rango. Contar filas e chamar ao resultado reconto de dispositivos sobreestima o despregamento por un factor arbitrario.
Se o requisito é realmente un inventario de activos, use o proceso de inventario que posúe esa rede. A VPN pode identificar que par transporta unha ruta, e ese é un feito distinto de que equipos existen detrás.
Idade, permisos e unha vista en directo
Conserve o tempo de modificación do ficheiro con cada resposta. Un servidor que se detivo hai horas deixa a súa última instantánea no seu sitio, e un ficheiro obsoleto presentado como actual é peor que ningún informe.
O directorio debe existir e ser escribible pola conta coa que se executa realmente o servizo, algo fácil de esquecer tras unha pasada de endurecemento. O ficheiro adoita conter nomes e enderezos, así que gárdeo nunha localización administrativa e non en calquera sitio desde onde un servidor web poida servilo. Comprobe os permisos desde a conta do servizo, non desde o seu shell. Unha instantánea que deixa de actualizarse en silencio parécese exactamente a unha rede tranquila.
Para necesidades baseadas en eventos, use a interface de xestión compatible en lugar de sondar máis rápido. Trate esa interface como control e non como métricas, e nunca a expoña a internet só para contar sesións.