Wiem gehéieren d'OpenVPN-Loggen: dem Daemon, rsyslog oder logrotate?

D'Logrotatioun brécht op eng viraussobar Manéier: dräi Komponenten gleewen all, si besetze Fichier, an d'Resultat ass eng rotéiert Log, déi weider wiisst, während déi nei eidel bleift. Den Daemon hält en Deskriptor, logrotate ëmbenennt de Wee, an rsyslog schreift ganz soss enger Plaz. Wielt een Auteur an ee Rotator, ier Dir nach eng Reegel op de Koup läscht. D'Checklëscht heiansdo geet an där Reihenfolge vir, well all spéidere Schrëtt dovun ofhänkt.

Entscheet, wien d'Datei schreift

Zwee Entwërf si legitim. Am éischten schreift de VPN-Prozess selwer eng Datei iwwer seng eege log- oder log-append-Optioun. Am zweeten schéckt hien d'Opzeechnungen un de Systemlogger, an rsyslog oder journald entscheet, wou se landen.

Et si Alternativen, net Schichten. En Host, deen déi zwee aktivéiert, ennt mat zwou Dateien, déi sech widerspriechen, an déi, déi Dir liesst, ass dacks déi veraltert. Wielt de Wee bewosst a läscht duerno den aneren Auteur.

Liest déi effektiv Servicekonfiguratioun, ier Dir eppes ännert, inklusiv drop-in-Dateien, déi d'Unit-Datei kënnen iwwerschreiwen. Eng Direktiv am Profil, deen Dir geännert hutt, ass keen Beweis, datt et déi ass, déi de lafende Prozess gelueden huet. Vergläicht d'Unit mat de Prozessargumenter an duerno mat den Dateien, déi hien tatsächlech opgemaach huet.

Nennt den Daemon, sou datt de Filter schmuels ka sinn

Um syslog-Wee gitt dem Daemon eng eege Identitéit a filtert drop. Eng Reegel, déi mam Programmnimm vun dëser VPN-Instanz iwwereneen ass, hält seng Opzeechnungen aus enger gedeelter Datei eraus, deenen hir Retentiounspolitik zu eppes anescht gehéiert.

Schmuel Reegelen maachen och déi nächst Fro beäntwertbar: wéi ee Service huet dës Linn produzéiert? En Filter, dee mat allem iwwereneen ass, wou d'Wuert VPN dra steet, sammele gär den Trafic vun engem zweeten Tunnel a mécht béid onscharf. Passt op dee geneeën Identifiant, deen d'Unit dem Logger gëtt.

Maacht d'Reegel no der Aktioun zou, sou datt d'Opzeechnungen net och an d'Standarddestinatioun falen. Duebel Linnen an zwou Dateien ausgesinn wéi e Logfeeler a si wierklech en feelenden Arrêt. Dee eenzegen Ënnerloossen duebelt och d'Diskkäschte vun der Retentiounspolitik.

Rotéiert, ouni den Deskriptor ze verléieren

Wann den Daemon d'Datei schreift, ëmbenennt logrotate de Wee, awer de Prozess behält säin oppenen Deskriptor. Nei Opzeechnungen ginn an déi ëmbenannte Datei weider, bis eppes de Prozess dozou bréngt, den urspréngleche Wee nees opzemaachen; dofir kann eng Rotatioun schaffe schéngen, während déi nei Datei eidel bleift.

D'Léisung ass eng postrotate-Aktioun, déi dat dokumentéiert Neiopluede- oder Neistartverhalen vum Service ausléist. Dem Logger en Signal schécken ass eng ganz aner Aktioun an déi näischt fir en Daemon mécht, deen seng eege Datei hält.

Wou en Neiopmaache onméiglech ass, ass copytruncate de Réckgrëff: kopéiert d'Datei an schneit se duerno op der Plaz of. Et hält den Deskriptor gülteg op Käschte vun allem, wat tëscht der Kopie an dem Ofschneide geschriwwe gëtt, also ass et en Tausch an net eng Léisung. Ënner Laascht kann déi Lück just dee Feeler verschlécken, deen Dir versicht ze fangen.

Wielt eng vun den zwou pro Datei a schreift d'Wiel op, well se um selwechte Wee ze mëschen Lücke produzéiert, déi sech spéider ganz schwéier zouuerdne loossen. E Lieser, deen déi zwou Mustere an engem Verzeechnis fënnt, kann net soen, wéi eng autoritativ ass.

Setzt d'Retentioun aus dem Virfallsfenster

Retentioun, Kompressioun an déi maximal Gréisst sollten doraussu folgen, wéi wäit zréck Dir tatsächlech ënnersicht. E Fenster vu siwen Deeg mat Kompressioun an enger Gréisstcap ass e vernünftege Startpunkt fir vill Deployementer; eng Zuel, déi aus engem Tutorial kopéiert gouf, ass et net.

Hält d'Politik op enger Plaz. Wann logrotate d'Datei rotéiert an rsyslog se och rotéiert, gewënnt déi zweet Rotatioun an d'Nummenschema vun der éischter iwwerlieft als Duercherneen. Wielt den Eegentemer, schalt déi aner Rotatioun aus, a notéiert déi Entscheedung nieft der Politik.

D'rsyslog-Dokumentatioun deckt säi Routing- an Aktiounsmodell of, während d'Dokumentatioun vum OpenVPN-Service fir d'eegen Logoptioune vum Daemon autoritativ bleift. Keng vun den zwou entscheet Är Retentiounspolitik fir Iech.

Test eng Rotatioun an e neit Evenement

Erzwéngt eng eenzeg Rotatioun an erzeugt duerno e neit Evenement, wéi eng feelgeschloen Authentifikatioun. Bestätegt, datt déi nei Opzeechnung an der neier Datei erschéngt an datt déi al Datei opgehalen huet ze wuessen.

Kuckt och d'Rechter op der neier Datei, well eng Rotatioun, déi se mat engem aneren Eegentemer nees uleet, den Auteur beim nächsten Schreiwen brécht an eng Lück produzéiert, déi wéi en Ofstuerz ausgesäit. Vergläicht den Eegentemer an de Modus mam Servicekont, ier Dir fortgeet. Bestätegt duerno, datt d'kompriméiert Archiv liesbar ass, well en Archiv, dat keen opmaache kann, ass keng Retentioun. Eng séier Liesung vun der neister Opzeechnung an der aler Datei beweist souwuel d'Kompressioun wéi d'Rechter.

Fäerdeg mam Festhalen vum Eegentemer vun all Schrëtt: wéi eng Komponent schreift, wat rotéiert a wou d'Retentiounspolitik wunnt. Genee déi Notiz mécht aus dem nächste Logvirfall eng fënnefminutteg Kontroll amplaz vun engem Nomëtteg, op deem Dir roppt, wéi eng Schicht d'Linn verluere gelooss huet.