თვალყური ადევნეთ VPN პირებს იმის ჩაწერის გარეშე, თუ სად დაათვალიერებენ

VPN პირის მონიტორინგს ოთხი ფაქტი სჭირდება და არც ერთი მათგანი დანიშნულება არ არის. გვირაბი აწეულია თუ არა, როდის გაცვალა ტრაფიკი ბოლოს, რომელი გასაღებები მონაწილეობს და რამდენი გადაადგილდა — ეს საკმარისია ხელმისაწვდომობისთვის. ამაზე მეტი ყველაფერი პიროვნების შესახებ ჩანაწერია და ეს უნდა იყოს განზრახ გადაწყვეტილება და არა სტატუსის გვერდის გახსნის გვერდითი ეფექტი. დაიწყეთ კითხვით, რომელზეც უნდა უპასუხოთ, შემდეგ აირჩიეთ უმცირესი გამოსავალი, რომელიც მას პასუხობს.

გადაწყვიტეთ კითხვა ხელსაწყომდე

ჯერ ჩაწერეთ ოპერაციული კითხვა: დაკავშირებულია ეს პირი და მოძრაობს ტრაფიკი? ამ კითხვას ცოცხალი ხედი სჭირდება, ხოლო ცოცხალ ხედს შენახვის პრობლემა არ აქვს. მეორე კითხვას, იყო თუ არა პირი დაკავშირებული გასულ სამშაბათს 02:00-ზე, შენახული მწკრივი და შესაბამისად შენახვის გადაწყვეტილება სჭირდება. ამ ორის გამიჯვნა მთელი დიზაინია, რადგან ცოცხალი ხედი იაფია, ხოლო შენახული მწკრივი მონაცემთა დაცვის საუბრად იქცევა.

ჯანმრთელობის შემოწმებაც სტატუსის გამოსავალს გამოყავით. ბოლო ხელის ჩამორთმევა ამტკიცებს, რომ გვირაბმა მოლაპარაკება აწარმოა და არა ის, რომ მის უკან არსებული კერძო აპლიკაცია მუშაობს, ამიტომ შეამოწმეთ აპლიკაცია ნებადართული შემოწმებით და არა მრიცხველებიდან დასკვნით. როცა შემოწმება ვერ ხერხდება და ხელის ჩამორთმევა ბოლოა, პრობლემა გვირაბის იქითაა.

წაიკითხეთ სამი ველი, რომლებიც მას პასუხობს

WireGuard-ის ჩვეულებრივი სტატუსის გამოსავალი შეიცავს ინტერფეისს, საჯარო გასაღებს, ბოლო წერტილს, უახლეს ხელის ჩამორთმევას და გადაცემის მრიცხველებს. ყოფნას სჭირდება საჯარო გასაღები და უახლესი ხელის ჩამორთმევა; საჭიროების შემთხვევაში დაამატეთ ბაიტების მრიცხველები მოძრაობის სანახავად. ბოლო წერტილი ყოფნისთვის საჭირო არ არის და პირველი ველია, რომელიც უნდა გამოტოვოთ, რადგან ის ადგენს, საიდან უკავშირდება მოწყობილობა. სახელმძღვანელოს გვერდი აღწერს ყველა ველს, რომელსაც ხელსაწყო ბეჭდავს, და საკმარისად მოკლეა ერთხელ წასაკითხად:

wg show
wg show wg0 latest-handshakes

ეს რიცხვები წაიკითხეთ როგორც ასაკი და არა როგორც ბულის მნიშვნელობები. ხელის ჩამორთმევა აქტუალურია მხოლოდ პროტოკოლის საკუთარი გასაღების განახლების ინტერვალის მიმართ, ხოლო მრიცხველი, რომელიც არ გადაადგილდა, შეიძლება ნიშნავდეს უმოქმედო პირს და არა გატეხილს. შეინახეთ ორივე ერთ ხედში, რათა ასაკი და მოძრაობა ერთად წაიკითხოთ.

აირჩიეთ ინტერვალი, რომელსაც დაიცავთ

სტატუსის ყოველი ნიმუში ჩანაწერია, ამიტომ ინტერვალი მონიტორინგის ჭდის მქონე შენახვის გადაწყვეტილებაა. ათი წამის ნიმუში წვრილ დეტალს იძლევა და ამრავლებს შენახულ სტრიქონებს, ხოლო ერთი წუთის ნიმუში ჩვეულებრივ საკმარისია ხელმისაწვდომობისთვის ღირებულების მეექვსედში. აირჩიეთ ინტერვალი დაპირებული პასუხის დროიდან და არა იქიდან, რაც ხელსაწყოს შეუძლია. შემდეგ ჩაწერეთ რიცხვი დაფის გვერდით.

OpenVPN-ისთვის სტატუსის საშუალება წერს ფაილს კონფიგურირებულ ინტერვალზე. სერვერის კონფიგურაციაში ეს ასე გამოიყურება status /var/log/openvpn-status.log 60, სადაც ბოლო რიცხვი გადაწერებს შორის წამებია და ფაილი იცვლება და არა ემატება. ეს დეტალი მნიშვნელოვანია: შეცვლილ ფაილს ისტორია არ აქვს, ხოლო მასზე დამამატებელი შემგროვებელი ქმნის ისტორიას.

დარწმუნდით, რომ შემგროვებელიც იცავს ინტერვალს. ხელსაწყო, რომელიც ყოველ წამს იღებს ნიმუშს და წუთში ერთ სტრიქონს ინახავს, მაინც ყოველ წამს კითხულობს.

შეინახეთ ჭდეები სტაბილურად და დაკავშირება შეზღუდული

საჯარო გასაღები ადგენს მოწყობილობის კავშირს მაშინაც, როცა სახელი არ არის მიმაგრებული, ამიტომ მოეპყარით გასაღებს როგორც პირად მონაცემს და არა როგორც გაუმჭვირვალე იდენტიფიკატორს. მონიშნეთ პირები სტაბილური შიდა იდენტიფიკატორებით, რომლებიც გადაურჩებიან ხელახალ დაკავშირებებს, და შეინახეთ იდენტიფიკატორიდან პიროვნებამდე დაკავშირება შეზღუდულ ადგილას. დაფა, რომელიც დროით მწკრივს წერს, შენახული ჩანაწერია მაშინაც, როცა VPN საკუთარ ფაილს არ ინახავს. როცა დაფა ერთადერთი საცავია, შენახვის წესი სწორედ დაფაზე მოქმედებს.

გადახედეთ ექსპორტის გზასაც, რადგან კოპირებული CSV უფრო დიდხანს ცოცხლობს, ვიდრე ის წარმომქმნელი სისტემა. გაერთიანებული ხელმისაწვდომობა ხშირად საკმარისია ანგარიშისთვის: ფანჯარაში ხელის ჩამორთმევის მქონე პირების წილი პასუხობს ოპერაციულ კითხვას იმის ჩამოთვლის გარეშე, თუ ვინ როდის იყო დაკავშირებული.

დაადასტურეთ, რას აგროვებთ და რას არა

დაწერეთ აღების აღწერა მარტივი ენით: რომელი ველები, რომელი ინტერფეისიდან, რა ინტერვალზე, სად შენახული, რამდენ ხანს შენახული და ვის შეუძლია მათი წაკითხვა. მოათავსეთ ის runbook-ის გვერდით და არა პოლიტიკის საცავში, რომელსაც ინციდენტის დროს არავინ ხსნის. აღწერამ უნდა თქვას ისიც, რას ვერ ხედავს მონიტორინგი, რადგან სწორედ ეს უშლის ხელს ვინმეს იფიქროს, რომ დათვალიერების მონაცემების არარსებობა ნიშნავს ჩანაწერების არარსებობას.

გადახედეთ შენახვის ფანჯარას ყოველ ჯერზე, როცა მონიტორინგი იცვლება, რადგან ახალი ველი ჩუმად აფართოებს შენახულს. შემდეგ წაშალეთ ის, რასაც აღწერა ამბობს, რომ შლით, და შეამოწმეთ, რომ წაშლა ნამდვილად მოხდა.