OpenVPN сервері өз журналын қайда жазуы керек және неге

Журнал дизайны үш сұраққа жауап береді: қай процесс жазба жасады, ол жазба қайда түседі және қанша уақыт өмір сүреді. OpenVPN файлға жаза алады, хабарламаларды жүйелік журналшыға бере алады немесе оларды қызмет менеджері ұстайтын нәрсеге қалдыра алады, және бұлар бір ағынның үш көшірмесі емес. Әрбір таңдау ротация кімге тиесілі екенін, қай пайдаланушы нәтижені оқи алатынын және іске қосу кезінде не болатынын өзгертеді. Жауаптарды оқиғаға дейін шешіңіз, өйткені кейін конфигурацияланған нәрсені мұраға аласыз.

Демон директивамен шын мәнінде не істейді

Директивалар абстракция емес; әрқайсысы процестің хабарламаларын қайда жазатынын анықтайды. log /path сол файлды ашады, log-append /path оны қосу үшін ашады, syslog хабарламаларды өз сокеті арқылы жергілікті жүйелік журналшыға береді. Ешқайсысы болмаса, шығыс стандартты шығысқа кетеді және кейін не болатынын қызмет менеджері шешеді. Демон сіздің конфигурацияңызды елемейді деген қорытындыға келмес бұрын қолданыстағы unit пен профильді бірге оқыңыз.

Соңғы жағдай пакеттік орнатуда жиі кездеседі және екі әкімші журналдың қайда тұратыны туралы неге келіспейтінін түсіндіреді. Біреуі unit журналын оқиды, екіншісі демон ешқашан жазбаған файлды оқиды.

Дискідегі файлды емес, жұмыс істеп тұрған конфигурацияны тексеріңіз. Drop-in түріндегі unit қайта жазу немесе орта файлы оқып отырған профиліңізге тимей-ақ қолданыстағы директиваны өзгерте алады.

log қысқартады, log-append қысқартпайды

log директива күшіне енгенде бар файлды қысқартады, сондықтан қайта іске қосу бұған дейінгі дәлелдерді өшіреді. log-append бар нәрсені сақтап, қосады. Ешбір нұсқа ештеңені ротацияламайды және ешқайсысы файлды кейін өзі қайта ашпайды, сондықтан ротация ынтымақтастықты қажет етеді.

Егер ротация файл атын өзгертіп, демон ескі дескрипторға жаза берсе, жаңа файл бос қалады және диск пайдаланылуы аты өзгерген файлда өсе береді. Процеске қайта ашу үшін сигнал жіберіңіз немесе көшіріп-қысқарту стратегиясымен ротациялап, көшіру терезесін қабылдаңыз.

Каталог, меншік және рұқсаттар дизайнның бір бөлігі. Демон іске қосылғаннан кейін артықшылықсыз пайдаланушы ретінде жұмыс істей алады, орнату кезінде root жасаған каталог ол кезде жазылмауы мүмкін. Оны пакеттеу немесе орналастыру процесі арқылы дайындаңыз, оқиға кезінде рұқсаттарды түзетудің орнына.

Қызмет менеджері екінші көшірмені ұстайды

systemd стандартты шығыс пен стандартты қатені әдепкіде ұстайды, сондықтан нақты бағыттаусыз unit-тің журналы бұрыннан бар. Файл директивасын қосу сақтау мерзімі, оқырмандары және уақыт белгілері әртүрлі екі ағын береді.

Бұл автоматты түрде дұрыс емес емес, бірақ бұл шешім болуы керек. Іске қосу жазбасын журналда қалдырыңыз, өйткені конфигурацияланған файл пайда болғанға дейінгі ақаулар басқа жерде көрінбейді. Содан кейін файлды тұрақты күйдегі оқиғалар үшін беделді етіп, мұны runbook-та жазыңыз. Екі беделді ағын әр сұраққа екі жауап дегенді білдіреді.

Таңдауды әдейі сәтсіз болатын тестпен растаңыз. Демонды оқылмайтын сертификатпен іске қосып, қай ағын қатені тіркейтінін қараңыз.

Толықтық пайдалануға жарамды детальмен бірдей емес

Жоғары verb деңгейі көбірек жолдарды қосады, белгілі бір нүктеден кейін ешкім оқымайтын жолдарды да қосады. 3-деңгей көптеген орналастырулар үшін орынды тұрақты күй, 4-деңгей және одан жоғары белгілі сұрағы бар шектеулі тергеуге сәйкес келеді. Қайталауды басу шуды азайтады, бірақ оқиғаның қаншалықты жиі қайталанатынын жасырмауы керек. Өзіңіз ұстай алатын деңгейді белгілеңіз және оны тек аяғы бар аталған тергеу үшін көтеріңіз.

Жазбада инстанстың сәйкестігі мен уақыт белгілерін сақтаңыз. Файл бірнеше ай бойы қосылып, инстанс аты жоқ болса, қайта қосылу бірінші қосылуға дәл ұқсайды.

Бұл файлға тағы не түсетініне назар аударыңыз. Бағытталған шығыс шақырылған скрипттердің мәтінін қамтуы мүмкін, өз ортасын басып шығаратын көмекші бағдарлама тіркелгі деректері мен кілт жолдарын оқуға болатын журналға салады. Демон өзі сезімтал ештеңе басып шығармаса да журналға кіруді қауіпсіздік шешімі деп қараңыз.

Ротация, сақтау және қайта жүктейтін сигналдар

Сақтау мерзімін дискінің иесімен шешіп, көлем сіздің орныңызға шешім қабылдамай тұрып белгілеңіз. Қайта жүктеу сигналы журнал күтімінің командасы емес: дұрыс емесін жіберу туннельді қайта іске қосып, әр пайдаланушыны ажыратады. Қайта ашу процедурасын ротация ережесінің жанына жазыңыз, екеуі алыстап кетпеуі үшін.

Нәтиже оператор сипаттай алатын қызмет болуы керек: бір беделді ағын, әр оқиға өмірлік циклге орналастырылған, және хосттағы құпия сақтайтын әр файлды жинамай-ақ алуға болатын жазба. Бұл сипаттама дизайнның қабылдау тесті, және оны келесі оқиғаға дейін тексеру арзан.