VPN-társak figyelése anélkül, hogy naplózná, hol böngésznek

Egy VPN-társ figyeléséhez négy tény kell, és egyik sem célállomás. Hogy az alagút él-e, mikor cserélt utoljára forgalmat, mely kulcsok vesznek részt és mennyi mozdult el, elég a rendelkezésre álláshoz. Minden ezen túl egy személyről szóló rekord, és szándékos döntésnek kell lennie, nem egy állapotoldal megnyitásának mellékhatásának. Kezdje a megválaszolandó kérdéssel, majd válassza a legkisebb kimenetet, amely megválaszolja.

Döntse el a kérdést az eszköz előtt

Először írja le az operatív kérdést: csatlakozva van-e ez a társ, és mozgat-e forgalmat? Ehhez a kérdéshez élő nézet kell, az élő nézetnek pedig nincs megőrzési problémája. Egy második kérdés, hogy a társ múlt kedden 02:00-kor csatlakozva volt-e, tárolt sorozatot és ezért megőrzési döntést igényel. A kettő szétválasztása maga a teljes tervezés, mert az élő nézet olcsó, míg a tárolt sorozat adatvédelmi beszélgetéssé válik.

Tartsa az állapotellenőrzést külön a státuszkimenettől is. Egy friss kézfogás azt bizonyítja, hogy az alagút tárgyalt, nem azt, hogy a mögötte lévő privát alkalmazás működik, ezért engedélyezett ellenőrzéssel tesztelje az alkalmazást, ne a számlálókból következtessen rá. Ha az ellenőrzés meghiúsul és a kézfogás friss, a probléma az alagúton túl van.

Olvassa a három mezőt, amely megválaszolja

A WireGuard egyszerű státuszkimenete tartalmazza az interfészt, a nyilvános kulcsot, a végpontot, a legutóbbi kézfogást és az átviteli számlálókat. A jelenléthez a nyilvános kulcs és a legutóbbi kézfogás kell; ha kell, adja hozzá a bájtszámlálókat a mozgás látásához. A végpont nem szükséges a jelenléthez, és ez az első mező, amelyet el kell ejteni, mert azonosítja, honnan csatlakozik egy eszköz. A kézikönyv oldala leírja az eszköz által kiírt minden mezőt, és elég rövid ahhoz, hogy egyszer elolvassa:

wg show
wg show wg0 latest-handshakes

Olvassa ezeket a számokat életkorként, ne logikai értékként. A kézfogás csak a protokoll saját kulcsfrissítési intervallumához képest aktuális, és egy számláló, amely nem mozdult, tétlen társat jelenthet sérült helyett. Tartsa mindkettőt ugyanabban a nézetben, hogy az életkor és a mozgás együtt olvasható legyen.

Válasszon olyan intervallumot, amelyet meg tud védeni

Minden státuszminta rekord, ezért az intervallum megfigyelési címkét viselő megőrzési döntés. A tíz másodperces minta finom részletet ad és megsokszorozza a tárolt sorokat, míg az egyperces minta általában elegendő a rendelkezésre álláshoz a költség hatodáért. Az intervallumot a megígért válaszidőből válassza, ne abból, amire az eszköz képes. Utána írja a számot az irányítópult mellé.

A OpenVPN esetében a státuszszolgáltatás beállított intervallumonként fájlt ír. A kiszolgáló konfigurációjában ez így néz ki status /var/log/openvpn-status.log 60, ahol a végi szám az újraírások közötti másodpercek, és a fájl felülíródik, nem hozzáfűződik. Ez a részlet számít: a felülírt fájlnak nincs története, míg a hozzáfűző gyűjtő történetet hoz létre.

Erősítse meg, hogy a gyűjtő is betartja az intervallumot. Egy eszköz, amely másodpercenként mintát vesz és percenként egy sort tárol, továbbra is minden másodpercben olvas.

Tartsa stabilan a címkéket és korlátozottan a leképezést

A nyilvános kulcs akkor is azonosít egy eszközkapcsolatot, ha nincs név hozzárendelve, ezért kezelje a kulcsot személyes adatként, nem átláthatatlan azonosítóként. Címkézze a társakat stabil belső azonosítókkal, amelyek túlélik az újracsatlakozásokat, és tartsa az azonosító és a személy közötti leképezést korlátozott helyen. Az irányítópult, amely idősort ír, tárolt rekord akkor is, ha a VPN nem vezet saját fájlt. Ha az irányítópult az egyetlen tár, ott érvényes a megőrzési szabály.

Tekintse át az exportálási útvonalat is, mert egy kimásolt CSV túlélheti az őt előállító rendszert. Az összesített rendelkezésre állás gyakran elég egy jelentéshez: az ablakon belül kézfogással rendelkező társak aránya megválaszolja az operatív kérdést anélkül, hogy felsorolná, ki mikor volt csatlakozva.

Dokumentálja, mit gyűjt és mit nem

Írja le a gyűjtést egyszerű nyelven: mely mezők, melyik interfészről, milyen intervallumban, hol tárolva, mennyi ideig megőrizve és ki olvashatja. Tegye a runbook mellé, ne olyan szabályzattárba, amelyet senki nem nyit meg egy incidens alatt. A leírásnak azt is meg kell mondania, mit nem lát a megfigyelés, mert ez akadályozza meg, hogy valaki azt feltételezze, a böngészési adatok hiánya a rekordok hiányát jelenti.

Tekintse át a megőrzési ablakot, valahányszor a megfigyelés változik, mert egy új mező csendesen meghosszabbítja a megőrzöttek körét. Utána törölje azt, amit a leírás szerint töröl, és ellenőrizze, hogy a törlés valóban megtörtént.