Stebėkite VPN partnerius neįrašydami, kur jie naršo

Stebint VPN partnerį reikia keturių faktų, ir nė vienas jų nėra paskirties vieta. Ar tunelis veikia, kada paskutinį kartą keitėsi srautu, kurie raktai dalyvauja ir kiek persikėlė, pakanka prieinamumui. Viskas, kas daugiau, yra įrašas apie asmenį, ir tai turėtų būti sąmoningas sprendimas, o ne šalutinis būsenos puslapio atidarymo poveikis. Pradėkite nuo klausimo, į kurį turite atsakyti, tada pasirinkite mažiausią išvestį, kuri į jį atsako.

Nuspręskite klausimą prieš įrankį

Pirmiausia užrašykite operacinį klausimą: ar šis partneris prijungtas ir ar jis judina srautą? Tam klausimui reikia tiesioginės peržiūros, o tiesioginė peržiūra neturi saugojimo problemos. Antras klausimas, ar partneris buvo prijungtas praėjusį antradienį 02:00, reikalauja saugomos serijos ir todėl saugojimo sprendimo. Šių dviejų atskyrimas yra visas dizainas, nes tiesioginė peržiūra yra pigi, o saugoma serija virsta duomenų apsaugos pokalbiu.

Sveikatos patikrinimą taip pat laikykite atskirai nuo būsenos išvesties. Nesenas rankos paspaudimas įrodo, kad tunelis susiderėjo, o ne kad už jo esanti privati programa veikia, todėl tikrinkite programą leistu patikrinimu, o ne spręskite iš skaitiklių. Kai patikrinimas nepavyksta, o rankos paspaudimas nesenas, problema yra už tunelio.

Skaitykite tris laukus, kurie į jį atsako

Paprasta WireGuard būsenos išvestis pateikia sąsają, viešąjį raktą, galinį tašką, paskutinį rankos paspaudimą ir perdavimo skaitiklius. Buvimui reikia viešojo rakto ir paskutinio rankos paspaudimo; jei reikia, pridėkite baitų skaitiklius judėjimui matyti. Galinis taškas buvimui nereikalingas ir yra pirmas laukas, kurio reikia atsisakyti, nes jis nustato, iš kur įrenginys jungiasi. Vadovo puslapis aprašo kiekvieną įrankio spausdinamą lauką, ir jis pakankamai trumpas, kad perskaitytumėte kartą:

wg show
wg show wg0 latest-handshakes

Skaitykite šiuos skaičius kaip amžių, o ne kaip loginius dydžius. Rankos paspaudimas yra aktualus tik protokolo paties raktų atnaujinimo intervalo atžvilgiu, o skaitiklis, kuris nepajudėjo, gali reikšti neveiksnų partnerį, o ne sugedusį. Laikykite abu tame pačiame vaizde, kad amžius ir judėjimas būtų skaitomi kartu.

Pasirinkite intervalą, kurį galite apginti

Kiekviena būsenos imtis yra įrašas, todėl intervalas yra saugojimo sprendimas su stebėjimo žyme. Dešimties sekundžių imtis duoda smulkią detalę ir padaugina saugomas eilutes, o vienos minutės imties paprastai pakanka prieinamumui už šeštadalį kainos. Rinkitės intervalą pagal pažadėtą atsako laiką, o ne pagal tai, ką įrankis gali. Tada užrašykite skaičių prie prietaisų skydelio.

OpenVPN atveju būsenos priemonė rašo failą nustatytu intervalu. Serverio konfigūracijoje tai atrodo taip status /var/log/openvpn-status.log 60, kur skaičius gale yra sekundės tarp perrašymų, o failas pakeičiamas, o ne papildomas. Ši smulkmena svarbi: pakeistas failas neturi istorijos, o papildantis rinkėjas ją sukuria.

Patvirtinkite, kad rinkėjas taip pat laikosi intervalo. Įrankis, kuris ima imtį kas sekundę ir saugo vieną eilutę per minutę, vis tiek skaito kas sekundę.

Laikykite žymeklius stabilius, o susiejimą apribotą

Viešasis raktas identifikuoja įrenginio ryšį net be pridedamo vardo, todėl su raktu elkitės kaip su asmens duomenimis, o ne kaip su nepermatomu identifikatoriumi. Žymėkite partnerius stabiliais vidiniais identifikatoriais, kurie išlieka po prisijungimų, ir laikykite identifikatoriaus susiejimą su asmeniu apribotoje vietoje. Prietaisų skydelis, rašantis laiko eilutę, yra saugomas įrašas net tada, kai VPN neturi savo failo. Kai skydelis yra vienintelė saugykla, saugojimo taisyklė galioja būtent skydeliui.

Peržiūrėkite ir eksporto kelią, nes nukopijuotas CSV gyvena ilgiau nei jį sukūrusi sistema. Suvestinis prieinamumas dažnai pakanka ataskaitai: partnerių, turinčių rankos paspaudimą lange, dalis atsako į operacinį klausimą neišvardijant, kas kada buvo prijungtas.

Dokumentuokite, ką renkate ir ko ne

Aprašykite rinkimą paprasta kalba: kurie laukai, iš kurios sąsajos, kokiu intervalu, kur saugomi, kiek laiko laikomi ir kas gali juos skaityti. Padėkite jį prie runbook, o ne į politikos saugyklą, kurios incidento metu niekas neatidaro. Aprašyme taip pat turėtų būti pasakyta, ko stebėjimas negali matyti, nes būtent tai neleidžia kam nors manyti, kad naršymo duomenų nebuvimas reiškia įrašų nebuvimą.

Peržiūrėkite saugojimo langą kiekvieną kartą, kai keičiasi stebėjimas, nes naujas laukas tyliai prailgina saugomą. Tada ištrinkite tai, ką aprašymas sako ištrinti, ir patikrinkite, ar trynimas tikrai įvyko.