Kur OpenVPN serveris turėtų rašyti savo žurnalą ir kodėl

Žurnalo projektas atsako į tris klausimus: kuris procesas sukūrė įrašą, kur tas įrašas atsiduria ir kiek ilgai jis išlieka. OpenVPN gali rašyti į failą, perduoti pranešimus sistemos žurnalui arba palikti juos tam, ką užfiksuoja paslaugų tvarkyklė, ir tai nėra trys vieno srauto kopijos. Kiekvienas pasirinkimas keičia, kas valdo rotaciją, kuris naudotojas gali perskaityti rezultatą ir kas vyksta paleidimo metu. Išspręskite šiuos klausimus prieš incidentą, nes vėliau paveldėsite tai, kas sukonfigūruota.

Ką demonas iš tikrųjų daro su direktyva

Direktyvos nėra abstrakcijos; kiekviena nusprendžia, kur procesas rašo savo pranešimus. log /path atidaro tą failą, log-append /path atidaro jį papildymui, o syslog perduoda pranešimus vietiniam sistemos žurnalui per savo lizdą. Be jų išvestis patenka į standartinę išvestį, o paslaugų tvarkyklė nusprendžia, kas bus toliau. Perskaitykite galiojantį unitą ir profilį kartu, prieš darydami išvadą, kad demonas ignoruoja jūsų konfigūraciją.

Paskutinis atvejis įprastas diegiant iš paketo, ir jis paaiškina, kodėl du administratoriai nesutaria, kur gyvena žurnalas. Vienas skaito unito žurnalą, kitas failą, kurio demonas niekada neįrašė.

Tikrinkite veikiančią konfigūraciją, o ne failą diske. Drop-in unito perrašymas arba aplinkos failas gali pakeisti galiojančią direktyvą neliesdami profilio, kurį skaitote.

log apkarpo, log-append ne

log apkarpo esamą failą, kai direktyva įsigalioja, todėl paleidimas iš naujo ištrina ankstesnius įrodymus. log-append išsaugo tai, kas yra, ir prirašo. Nei vienas variantas nieko nerotuoja, ir nei vienas pats vėliau neatlydo failo iš naujo, todėl rotacijai reikia bendradarbiavimo.

Jei rotacija pervadina failą, o demonas vis dar rašo į seną deskriptorių, naujas failas lieka tuščias, o disko naudojimas toliau auga pervadintame. Signalizuokite procesui atidaryti iš naujo arba rotuokite kopijavimo-ir-kirpimo strategija ir priimkite kopijavimo langą.

Katalogas, nuosavybė ir leidimai yra projekto dalis. Demonas paleidimo metu gali veikti kaip neprivilegijuotas naudotojas, o diegiant root sukurtą katalogą tada gali būti neįrašoma. Paruoškite jį per pakavimą ar diegimo procesą, o ne taisykite leidimus incidento metu.

Paslaugų tvarkyklė laiko antrą kopiją

systemd pagal nutylėjimą fiksuoja standartinę išvestį ir standartinę klaidą, todėl unitas be aiškaus nukreipimo jau turi žurnalą. Pridėjus failo direktyvą gaunami du srautai su skirtingu saugojimu, skirtingais skaitytojais ir skirtingomis laiko žymomis.

Tai savaime nėra neteisinga, bet tai turi būti sprendimas. Palikite paleidimo įrašą žurnale, nes gedimai prieš atsirandant sukonfigūruotam failui niekur kitur nematomi. Tada padarykite failą autoritetingu nuolatinių įvykių atžvilgiu ir parašykite tai runbooke. Du autoritetingi srautai reiškia du atsakymus į kiekvieną klausimą.

Patvirtinkite pasirinkimą testu, kuris sąmoningai nepavyksta. Paleiskite demoną su neperskaitomu sertifikatu ir patikrinkite, kuris srautas užfiksuoja klaidą.

Išsamumas nėra tas pats, kas naudinga detalė

Didesnis verb lygis prideda daugiau eilučių, o po tam tikros ribos eilučių, kurių niekas neskaito. 3 lygis yra pagrįsta nuolatinė būsena daugumai diegimų, o 4 lygis ir aukštesni tinka ribotam tyrimui su žinomu klausimu. Pasikartojimų slopinimas mažina triukšmą, bet neturi slėpti, kaip dažnai įvykis kartojasi. Nustatykite lygį, kurį galite išlaikyti, ir pakelkite jį tik įvardytam tyrimui su pabaiga.

Išsaugokite egzemplioriaus tapatybę ir laiko žymas įraše. Pakartotinis prisijungimas atrodo lygiai kaip pirmasis, kai failas papildomas mėnesius, o egzemplioriaus vardo trūksta.

Atkreipkite dėmesį, kas dar patenka į tą failą. Nukreipta išvestis gali turėti iškviestų scenarijų tekstą, o pagalbinė programa, spausdinanti savo aplinką, įrašo prisijungimo duomenis ir raktų kelius į įskaitomą žurnalą. Žurnalo prieigą traktuokite kaip saugumo sprendimą, net kai pats demonas nespausdina nieko jautraus.

Rotacija, saugojimas ir signalai, kurie įkelia iš naujo

Saugojimo trukmę sutarkite su disko savininku ir nustatykite ją prieš tomui nusprendžiant už jus. Perkrovos signalas nėra žurnalo priežiūros komanda: netinkamas signalas paleidžia tunelį iš naujo ir atjungia kiekvieną naudotoją. Užrašykite pakartotinio atidarymo procedūrą šalia rotacijos taisyklės, kad abi neišsiskirtų.

Rezultatas turėtų būti paslauga, kurią operatorius gali apibūdinti: vienas autoritetingas srautas, kiekvienas įvykis įdėtas į gyvavimo ciklą ir įrašas, gaunamas nerenkant kiekvieno paslapčių turinčio failo hoste. Šis apibūdinimas yra projekto priėmimo testas, ir jį patikrinti prieš kitą incidentą pigu.