Wéi een Apparat-Logs sécher op engem wäite Collector schéckt

Den Apparat kann Logs ausginn, de Collector sëtzt op der anerer Säit vum Internet, an déi éischt Fro, déi jiddwereen stellt, ass wéi een Tunnel gebaut gëtt. Dës Kaderung fänkt op der falscher Plaz un. Wat den Transport decidéiert, ass d'Format, dat den Apparat produzéiere kann, d'Authentifikatioun, déi de Collector akzeptéiert, an dat, wat „geliefert“ bedeite soll, wann d'Verbindung fällt. Schreift déi dräi Äntwerten op, an den Transport wielt sech meeschtens selwer.

Fänkt domat un, wat den Apparat kann ausginn

An der Praxis gëtt et just dräi Formen. Eenzel syslog-Evenementer iwwer UDP oder TCP, en authentifizéierten HTTPS-Upload, deen am Produkt agebaut ass, oder komplett Fichieren, déi op d'Plack geschriwwe ginn an déi missen geréckelt ginn. Eng Firewall, déi just UDP-Syslog ka schécken, gëtt net en TLS-Sender, well Dir en Tunnel bäigefüügt hutt; si schéckt weider onbestätegt Datagrammer, elo an engem verschlësselte Couvert.

Maacht also fir d'éischt eng Inventur vum Sender: Protokoll, TLS-Ënnerstëtzung a wéi eng TLS-Bibliothéik, ob en d'Zertifikat vum Collector validéiere kann, ob en e Clientzertifikat presentéiere kann, an ob de Sendpuffer en Neistart iwwerlieft. Alles, wat den Apparat net kann, muss eppes anescht um Wee maachen, an dat eppes anescht gëtt en Deel vun Ärem Design.

TLS-Syslog: de kierzten Wee, wann béid Säiten en schwätzen

Wann den Apparat Syslog iwwer TLS ënnerstëtzt an de Collector en terminéiert, benotzt dat a stoppt. Den Applikatiounsprotokoll schützt sech selwer, de Collector authentifizéiert den Sender, an et gëtt keen zousätzleche Sprong, deem seng Disponibilitéit Dir elo besëtzt. De Fallstrick ass, datt „TLS-Syslog“ eng breet Palette vun Implementéierungen deckt, an déi aktuell Richtlinnen fir séchert Syslog si weider gaange wéi d'Chiffrelëschten an eelere Tutorialen, an dofir gëtt en funktionéierende Forwarder no engem Bibliothéiksupdate kaputt.

Bei rsyslog seet den Numm vum Transportmodul eleng, an wéi enger Ära Dir sidd: lmnsd_gtls ëmwickelt GnuTLS, während lmnsd_ossl OpenSSL ëmwickelt an dat liwweren déi aktuell 8.x-Päckchen. Eng Weiderleedungsaktioun mat Zertifikatsprüfung gesäit ongeféier esou aus, an déi genee Parameternimm si wäert, géint Är installéiert Versioun ze kontrolléieren:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Verifizéiert den Endpunkt, ier Dir den Sender debuggt. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error entweder fäerdeg en Handshake mat enger gülteger Kette oder seet Iech genau, wéi eng Prüfung feelgeeschloen ass. Test aus dem Apparat, net vun Ärem Laptop, well den Trust Store vum Apparat dee wichtegen ass.

SFTP: gutt fir Fichieren, falsch fir Streams

Fichierbaséiert Liwwerung passt zu Apparater, déi rotéierend Logs schreiwen an soss näischt. SSH-baséiert Transfert gitt Iech Hostschlësselen, Schlësselen pro Kont an e Fichiersystem, deen Dir kënnt auditoren, wat eng verstänneg Vertrauensgeschicht fir en Apparat ass, deen iwwerhaapt keen TLS kann. Et ass eng schlecht Wiel fir Evenement-Streams, wou „de Fichier gëtt all Stonn geschriwwen“ bedeit, datt eng Stéierung Iech de Schwanz vun der aktueller Stonn kascht.

Hält d'Hostverifikatioun un. En Batch-Opruff, deen se ausschalt fir eng Ufro ze vermeiden, zerstéiert déi eenzeg Authentifikatioun, déi den Transport huet:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Pinn den Hostschlëssel an der known_hosts vum Kont während der Bereetstellung, limitéiert de Kont op den Zilrepertoire, a bevirzugt den internal-sftp-Subsystem mat chroot. Plangt och d'Geschicht vum Neischécken: wann e Fichier no engem deelweisen Ausfall nach eng Kéier geschéckt gëtt, muss de Collector en Duplikat vun engem neie Fichier ënnerscheeden, normalerweis iwwer Numm plus Prüfsumm an net iwwer d'Arrivéezäit.

Wann e lokale Gateway oder en Tunnel déi éierlech Äntwert ass

Verschidden Apparater kënne just en Format schwätzen, deen keen wëll aussetzen. An deem Fall kritt en autoriséierte Collector am Netzwierk vum Apparat selwer dat nativen Format a leet et iwwer TLS weider. Dat ass en legitimen Design, awer sidd präzis iwwer wat en kaaft: Verschlësselung, déi um Gateway ufänkt, schützt de Segment tëscht Apparat a Gateway net réckwierkend, also brauch dee Sprong nach ëmmer seng eege Vertrauensgrenz a Zougrëffskontroll.

En gerouteten Site- oder Apparatstunnel ass déi schwéierst Optioun an déi richteg, wann de Collector eng privat Adress behale muss an e puer Servicer muss droen, net just Logs. En bréngt Adressplanung, Zougrëffsregelen, Réckweeër an de Liewenszyklus vum Tunnelendpunkt. En verbessert och den banneschten Protokoll net: UDP-Syslog an engem IPsec-Tunnel ass nach ëmmer en Datagrammdéngscht ouni Liwwerbestätegung.

Wat Dir och wielt, hält d'Autorisatioun vum Collector méi enk wéi den Transport. Eng Tunnelidentitéit gehéiert zu engem Endpunkt an et seet näischt doriwwer, wéi en ënneschten Apparat e bestëmmt Hostnummfeld an enger Noriicht produzéiert huet.

Schreift de Liwwervertrag, ier Dir verschéckt

Verschlësselung, Authentifikatioun an Opbewahrung beäntweren ënnerschiddlech Froen, an eng Queue ass keng Opbewahrungspolitik. Ier den éischte Log den Apparat verléisst, entscheet, wat eng Bestätegung op dësem Collector tatsächlech bedeit: um Drot empfaangen, fir d'Veraarbechtung akzeptéiert oder dauerhaft an de Späicher geschriwwen. Dat sinn dräi ënnerschiddlech Garantien an nëmmen déi lescht iwwerlieft en Neistart vum Collector.

Äntwert dann schrëftlech op d'operativ Froen. Wou waarden net geschéckt Evenementer, an iwwerlieft dee Puffer eng Stroumënnerbriechung? Wat geschitt, wann en voll ass, a wien gëtt informéiert? Wéi sinn d'Widderhuelungen begrenzt, a wéi ginn Duplikater identifizéiert? Wéi engem Feld beweist d'Identitéit vum Sender, wann en Weiderleedungssprong den Hostnumm ëmschreiwe kann?

Hält den Design kleng genuch, fir en an engem Abschnitt z'erklären: den klengsten ënnerstëtzten Transport, deen déi néideg Evenementer dréit, plus eng explicit Erklärung vun de Garantien, déi en net gëtt. Wann d'Äntwert zwee Spréng brauch, sot et am Runbook a gitt all Sprong en Eegentemer.