Yadda ake aika bayanan na’ura zuwa mai tattarawa mai nisa cikin aminci

Na’urar na iya fitar da bayanai, mai tattarawa yana can gefe na daban na intanet, kuma tambaya ta farko da kowa ke yi ita ce wace rami za a gina. Wannan tsarin yana farawa daga wuri mara kyau. Abin da ke ƙayyade jigila shi ne tsarin da na’urar za ta iya samarwa, tabbacin da mai tattarawa zai karɓa, da ma’anar “an isar” lokacin da hanyar ta yanke. Rubuta waɗannan amsoshi uku, kuma jigilar takan zaɓi kanta.

Fara daga abin da na’urar za ta iya fitarwa

A aikace akwai siffofi uku kawai. Abubuwan syslog ɗaya-ɗaya ta UDP ko TCP, ɗaukar HTTPS tabbatacce da aka gina cikin samfurin, ko cikakkun fayiloli da aka rubuta a faifai waɗanda dole a motsa. Wutar bango da za ta iya aika syslog ta UDP kawai ba za ta zama mai aika TLS ba saboda ka ƙara rami; za ta ci gaba da aika datagram ɗin da ba a tabbatar da su ba, yanzu cikin ambulan da aka ɓoye.

Don haka fara lissafin mai aikawa: yarjejeniya, tallafin TLS da wace ɗakin karatu ta TLS, ko zai iya tabbatar da takardar shaidar mai tattarawa, ko zai iya gabatar da takardar shaidar abokin ciniki, da ko ajiyar aikawa tana jurewa sake kunnawa. Duk abin da na’urar ba za ta iya yi ba dole wani abu a hanya ya yi, kuma wannan wani abu ya zama ɓangare na ƙirarka.

TLS syslog: hanya mafi gajarta lokacin da ɓangarorin biyu ke magana da ita

Idan na’urar tana goyon bayan syslog ta TLS kuma mai tattarawa yana ƙare ta, yi amfani da ita ka tsaya. Yarjejeniyar aikace-aikacen tana kare kanta, mai tattarawa yana tabbatar da mai aikawa, kuma babu wani mataki na ƙari da kake mallakar samuwarsa yanzu. Ƙullin shi ne “TLS syslog” ta ƙunshi ɗimbin aiwatarwa, kuma jagororin syslog amintacce na yanzu sun wuce jerin sirri a tsofaffin darussa, wanda shi ne dalilin da mai tura mai aiki ke lalacewa bayan haɓaka ɗakin karatu.

A rsyslog, sunan tsarin jigila kawai yana gaya maka wane zamani kake ciki: lmnsd_gtls yana naɗe GnuTLS, yayin da lmnsd_ossl yana naɗe OpenSSL kuma shi ne abin da fakitin 8.x na yanzu suke bayarwa. Aikin turawa tare da tabbatar da takarda ya yi kama da wannan, kuma sunayen sigogi na ainihi sun cancanci a duba su da sigar da aka shigar:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Tabbatar da ƙarshen hanya kafin ka gyara mai aikawa. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error ko yana kammala musafaha da sarkar ingantacciya ko yana gaya maka ainihin wane bincike ya kasa. Gwada daga na’urar, ba daga kwamfutar tafi-da-gidanka ba, domin ajiyar amana ta na’urar ita ce ke da muhimmanci.

SFTP: mai kyau ga fayiloli, mara kyau ga magudanar ruwa

Isarwa ta tushen fayiloli ta dace da na’urori da ke rubuta bayanan da ake jujjuya kuma ba wani abu ba. Canja wuri ta SSH yana ba ka makullin masaukai, makulli na kowane asusu da tsarin fayil da za ka iya duba, wanda labari ne mai ma’ana na amana ga na’urar da ba za ta iya TLS kwata-kwata ba. Zaɓi mara kyau ne ga magudanar al’amura, inda “ana rubuta fayil ɗin kowace awa” ke nufin hatsari yana ɓata maka ƙarshen awa ta yanzu.

Ka ci gaba da tabbatar da masauki. Kira na tarin da ke kashe shi don guje wa tambaya yana lalata tabbacin da jigilar ke da shi:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Ka manne maɓallin masauki a cikin known_hosts na asusu yayin shirye-shirye, ka iyakance asusu ga babban fayil ɗin da aka nufa, kuma ka fi son internal-sftp tare da chroot. Ka kuma tsara labarin sake aikawa: idan an sake aika fayil bayan gazawa ta wani ɓangare, mai tattarawa dole ya bambanta kwafin da sabon fayil, yawanci ta suna da jimillar dubawa ba ta lokacin isowa ba.

Lokacin da ƙofar gida ko rami ita ce amsar gaskiya

Wasu na’urori suna iya magana da tsarin da ba wanda yake son fallasa shi. A wannan yanayin mai tattarawa mai izini a cikin hanyar sadarwar na’urar kanta yana karɓar tsarin asali kuma yana tura shi gaba ta TLS. Wannan ƙira ce halal, amma ka kasance daidai game da abin da take saya: ɓoyewa da ke farawa a ƙofar ba ya kare ɓangaren tsakanin na’urar da ƙofar a baya, don haka wannan mataki yana buƙatar iyakarsa ta amana da kula da shiga.

Rami mai turawa na wuri ko na’ura shi ne zaɓi mafi nauyi kuma daidai lokacin da mai tattarawa dole ya riƙe adireshi na sirri kuma ya ɗauki ayyuka da yawa, ba bayanai kawai ba. Yana kawo tsara adireshi, dokokin shiga, hanyoyin dawowa da rayuwar ƙarshen ramin. Hakanan ba ya inganta yarjejeniyar ciki: syslog ta UDP cikin ramin IPsec har yanzu sabis ne na datagram ba tare da tabbacin isarwa ba.

Duk abin da ka zaɓa, ka riƙe izinin mai tattarawa ya fi na jigila ƙunci. Asalin rami na ƙarshen mataki ne, kuma ba ya faɗi komai game da wace na’ura ta ƙasa ta samar da filin sunan masauki a cikin saƙo.

Rubuta yarjejeniyar isarwa kafin ka aika

Ɓoyewa, tabbaci da riƙewa suna amsa tambayoyi daban-daban, kuma layi ba manufar riƙewa ba ce. Kafin bayani na farko ya bar na’urar, yanke shawara kan abin da tabbaci ke nufi a wannan mai tattarawa: an karɓa a waya, an karɓa don aiki, ko an rubuta sosai a ajiya. Waɗannan tabbaci uku ne daban-daban kuma na ƙarshe ne kawai ke jurewa sake kunnawa mai tattarawa.

Sannan amsa tambayoyin aiki a rubuce. A ina al’amuran da ba a aika ba suke jira, kuma ajiyar tana jurewa katsewar wuta? Me ke faruwa idan ta cika, kuma wa ake sanar? Yaya ake iyakance sake gwadawa, kuma yaya ake gane kwafi? Wane fili ne ke tabbatar da asalin mai aikawa, ganin cewa matakin turawa na iya sake rubuta sunan masauki?

Ka riƙe ƙirar ƙanƙanta sosai don bayyana ta a sakin layi ɗaya: mafi ƙarancin jigila da ake goyon baya da ke ɗauke da al’amuran da ake buƙata, tare da bayyanannen bayani game da tabbacin da ba ta bayarwa. Idan amsar tana buƙatar matakai biyu, faɗi haka a cikin runbook kuma ba kowane mataki mai shi.