VPN साथियों की निगरानी करें, बिना यह दर्ज किए कि वे कहाँ ब्राउज़ करते हैं

किसी VPN साथी की निगरानी के लिए चार तथ्य चाहिए, और उनमें से कोई भी गंतव्य नहीं है। सुरंग चालू है या नहीं, उसने आखिरी बार कब ट्रैफ़िक बदला, कौन-सी कुंजियाँ शामिल हैं और कितना हिला — यह उपलब्धता के लिए पर्याप्त है। इससे आगे का हर विवरण किसी व्यक्ति के बारे में रिकॉर्ड है, और यह स्टेटस पेज खोलने का दुष्प्रभाव नहीं, जानबूझकर लिया गया निर्णय होना चाहिए। उस प्रश्न से शुरू करें जिसका उत्तर देना है, फिर वह सबसे छोटा आउटपुट चुनें जो उसका उत्तर देता है।

औज़ार से पहले प्रश्न तय करें

पहले परिचालन प्रश्न लिखें: क्या यह साथी जुड़ा है, और क्या यह ट्रैफ़िक हिला रहा है? उस प्रश्न के लिए लाइव दृश्य चाहिए, और लाइव दृश्य में प्रतिधारण की कोई समस्या नहीं है। दूसरा प्रश्न, क्या साथी पिछले मंगलवार 02:00 बजे जुड़ा था, संग्रहीत श्रृंखला और इसलिए प्रतिधारण निर्णय मांगता है। इन दोनों को अलग करना ही पूरा डिज़ाइन है, क्योंकि लाइव दृश्य सस्ता है जबकि संग्रहीत श्रृंखला डेटा-संरक्षण की बातचीत बन जाती है।

स्वास्थ्य जाँच को भी स्टेटस आउटपुट से अलग रखें। हाल का हैंडशेक साबित करता है कि सुरंग ने बातचीत की, यह नहीं कि उसके पीछे का निजी एप्लिकेशन काम करता है, इसलिए काउंटरों से अनुमान लगाने के बजाय अधिकृत जाँच से एप्लिकेशन का परीक्षण करें। जब जाँच विफल हो और हैंडशेक हाल का हो, समस्या सुरंग के उस पार है।

उसका उत्तर देने वाले तीन फ़ील्ड पढ़ें

WireGuard का सामान्य स्टेटस आउटपुट इंटरफ़ेस, सार्वजनिक कुंजी, एंडपॉइंट, नवीनतम हैंडशेक और स्थानांतरण काउंटर देता है। उपस्थिति के लिए सार्वजनिक कुंजी और नवीनतम हैंडशेक चाहिए; ज़रूरत हो तो गति देखने के लिए बाइट काउंटर जोड़ें। एंडपॉइंट उपस्थिति के लिए ज़रूरी नहीं है और छोड़ने वाला पहला फ़ील्ड है, क्योंकि यह पहचानता है कि कोई डिवाइस कहाँ से जुड़ता है। मैन्युअल पृष्ठ हर उस फ़ील्ड का वर्णन करता है जो औज़ार छापता है, और एक बार पढ़ने के लिए पर्याप्त छोटा है:

wg show
wg show wg0 latest-handshakes

उन संख्याओं को बूलियन नहीं, आयु की तरह पढ़ें। हैंडशेक केवल प्रोटोकॉल के अपने कुंजी-नवीनीकरण अंतराल के सापेक्ष ही ताज़ा होता है, और जो काउंटर नहीं हिला वह टूटे हुए साथी के बजाय निष्क्रिय साथी का अर्थ दे सकता है। दोनों को एक ही दृश्य में रखें ताकि आयु और गति साथ पढ़ी जाएँ।

ऐसा अंतराल चुनें जिसका आप बचाव कर सकें

हर स्टेटस नमूना एक रिकॉर्ड है, इसलिए अंतराल निगरानी लेबल पहने प्रतिधारण निर्णय है। दस सेकंड का नमूना बारीक विवरण देता है और संग्रहीत पंक्तियाँ कई गुना करता है, जबकि एक मिनट का नमूना लागत के छठे हिस्से में उपलब्धता के लिए आमतौर पर पर्याप्त है। अंतराल औज़ार जो कर सकता है उससे नहीं, बल्कि आपके द्वारा वादा किए गए प्रतिक्रिया समय से चुनें। फिर संख्या डैशबोर्ड के बगल में लिखें।

OpenVPN के लिए स्टेटस सुविधा कॉन्फ़िगर किए गए अंतराल पर एक फ़ाइल लिखती है। सर्वर कॉन्फ़िगरेशन में यह ऐसा दिखता है status /var/log/openvpn-status.log 60, जहाँ अंत में दी गई संख्या फिर से लिखे जाने के बीच के सेकंड हैं, और फ़ाइल जोड़ी नहीं, बदली जाती है। यह ब्यौरा मायने रखता है: बदली गई फ़ाइल का कोई इतिहास नहीं होता, जबकि उसमें जोड़ने वाला संग्राहक इतिहास बनाता है।

पुष्टि करें कि संग्राहक भी अंतराल का पालन करता है। जो औज़ार हर सेकंड नमूना लेता है और प्रति मिनट एक पंक्ति संग्रहीत करता है, वह फिर भी हर सेकंड पढ़ता है।

लेबल स्थिर रखें और मैपिंग सीमित रखें

सार्वजनिक कुंजी बिना नाम जुड़े भी डिवाइस संबंध पहचानती है, इसलिए कुंजी को अपारदर्शी पहचानकर्ता नहीं, व्यक्तिगत डेटा मानें। साथियों को ऐसे स्थिर आंतरिक पहचानकर्ताओं से लेबल करें जो पुनः कनेक्शन झेलें, और पहचानकर्ता से व्यक्ति तक की मैपिंग सीमित जगह पर रखें। जो डैशबोर्ड समय-श्रृंखला लिखता है वह संग्रहीत रिकॉर्ड है, भले ही VPN अपनी कोई फ़ाइल न रखे। जब डैशबोर्ड ही एकमात्र भंडार हो, तब प्रतिधारण नियम डैशबोर्ड पर ही लागू होता है।

निर्यात मार्ग की भी समीक्षा करें, क्योंकि प्रतिलिपि की गई CSV उसे बनाने वाले सिस्टम से अधिक टिकती है। समग्र उपलब्धता अक्सर रिपोर्ट के लिए पर्याप्त होती है: विंडो के भीतर हैंडशेक वाले साथियों का अनुपात यह बताए बिना कि कौन कब जुड़ा था, परिचालन प्रश्न का उत्तर देता है।

दस्तावेज़ करें कि आप क्या एकत्र करते हैं और क्या नहीं

संग्रह का विवरण सरल भाषा में लिखें: कौन-से फ़ील्ड, किस इंटरफ़ेस से, किस अंतराल पर, कहाँ संग्रहीत, कितने समय तक रखे जाते हैं और कौन पढ़ सकता है। इसे runbook के बगल में रखें, ऐसे नीति भंडार में नहीं जिसे घटना के दौरान कोई नहीं खोलता। विवरण में यह भी कहना चाहिए कि निगरानी क्या नहीं देख सकती, क्योंकि यही किसी को यह मानने से रोकता है कि ब्राउज़िंग डेटा की अनुपस्थिति का अर्थ रिकॉर्ड की अनुपस्थिति है।

जब भी निगरानी बदले, प्रतिधारण विंडो की समीक्षा करें, क्योंकि नया फ़ील्ड चुपचाप वह बढ़ा देता है जो रखा जाता है। फिर वह हटाएँ जो विवरण कहता है कि आप हटाते हैं, और सत्यापित करें कि हटाना वास्तव में हुआ।