Kam priklauso OpenVPN žurnalai: demonui, rsyslog ar logrotate?

Žurnalų sukimas lūžta nuspėjamai: trys komponentai kiekvienas mano turintys failą, o rezultatas yra pasuktas žurnalas, kuris toliau auga, kol naujasis lieka tuščias. Demonas laiko deskriptorių, logrotate pervadina kelią, o rsyslog rašo visai kitur. Pasirinkite vieną rašytoją ir vieną sukamąjį, prieš pridėdami dar vieną taisyklę į krūvą. Toliau pateiktas kontrolinis sąrašas juda būtent ta tvarka, nes kiekvienas vėlesnis žingsnis nuo jo priklauso.

Nuspręskite, kas rašo failą

Du sprendimai yra teisėti. Pirmajame VPN procesas pats rašo failą per savo log arba log-append parinktį. Antrajame jis siunčia įrašus sistemos žurnalui, o rsyslog arba journald nusprendžia, kur jie atsidurs.

Tai alternatyvos, o ne sluoksniai. Hostas, įjungęs abu, galiausiai turi du failus, kurie nesutampa, ir tas, kurį skaitote, dažnai yra pasenęs. Pasirinkite kelią sąmoningai, o tada pašalinkite kitą rašytoją.

Prieš ką nors keisdami perskaitykite veikiančią paslaugos konfigūraciją, įskaitant drop-in failus, kurie gali perrašyti unit failą. Jūsų redaguotame profilyje esanti direktyva neįrodo, kad tai ta, kurią įkėlė veikiantis procesas. Palyginkite unit su proceso argumentais, o po to su failais, kuriuos jis iš tikrųjų atidarė.

Pavadinkite demoną, kad filtras būtų siauras

syslog kelyje suteikite demonui atskirą tapatybę ir filtruokite pagal ją. Taisyklė, atitinkanti šios VPN instancijos programos pavadinimą, laiko jos įrašus už bendro failo, kurio saugojimo politika priklauso kam nors kitam.

Siauros taisyklės taip pat leidžia atsakyti į kitą klausimą: kuri paslauga sukūrė šią eilutę? Filtras, atitinkantis viską, kur yra žodis VPN, mielai surinks antro tunelio srautą ir abu sujauks. Derinkite su tiksliu identifikatoriumi, kurį unit perduoda žurnalui.

Uždarykite taisyklę po veiksmo, kad įrašai nepatektų ir į numatytąją paskirties vietą. Pasikartojančios eilutės dviejuose failuose atrodo kaip registravimo klaida, o iš tikrųjų tai trūkstama sustabdymo komanda. Tas vienas praleidimas taip pat dvigubina saugojimo politikos disko sąnaudas.

Sukite neprarasdami deskriptoriaus

Kai demonas rašo failą, logrotate pervadina kelią, bet procesas išsaugo atvirą deskriptorių. Nauji įrašai toliau patenka į pervadintą failą, kol kažkas priverčia procesą iš naujo atidaryti pradinį kelią; todėl sukimas gali atrodyti veikiantis, nors naujasis failas lieka tuščias.

Sprendimas yra postrotate veiksmas, suaktyvinantis dokumentuotą paslaugos perkrovimo arba paleidimo iš naujo elgesį. Signalo siuntimas žurnalui yra visai kitas veiksmas ir nieko nedaro demonui, laikančiam savo failą.

Kai pakartotinis atidarymas neįmanomas, copytruncate yra atsarginis variantas: nukopijuokite failą ir tada nukirpkite jį vietoje. Jis palieka deskriptorių galiojantį, bet prarandama viskas, kas įrašyta tarp kopijavimo ir kirpimo, todėl tai mainai, o ne sprendimas. Esant apkrovai ta spraga gali praryti būtent tą gedimą, kurį bandote sugauti.

Kiekvienam failui pasirinkite vieną iš dviejų ir užrašykite pasirinkimą, nes jų maišymas tame pačiame kelyje sukuria spragas, kurias vėliau labai sunku kam nors priskirti. Skaitytojas, viename kataloge radęs abu šablonus, negali pasakyti, kuris yra pagrindinis.

Saugojimą nustatykite pagal incidento langą

Saugojimas, suspaudimas ir didžiausias dydis turėtų kilti iš to, kiek giliai iš tikrųjų tiriate. Septynių dienų langas su suspaudimu ir dydžio riba yra pagrįstas atspirties taškas daugeliui diegimų; skaičius, nukopijuotas iš mokymo, toks nėra.

Laikykite politiką vienoje vietoje. Jei logrotate suka failą ir rsyslog taip pat jį suka, laimi antrasis sukimas, o pirmojo pavadinimų schema išlieka kaip netvarka. Pasirinkite savininką, išjunkite kitą sukimą ir užsirašykite tą sprendimą šalia politikos.

rsyslog dokumentacija apima jo maršrutizavimo ir veiksmų modelį, o OpenVPN paslaugos dokumentacija išlieka pagrindine demono registravimo parinktims. Nė viena iš jų nenusprendžia jūsų saugojimo politikos už jus.

Išbandykite vieną sukimą ir vieną naują įvykį

Priverstinai atlikite vieną sukimą ir tada sugeneruokite vieną naują įvykį, pavyzdžiui, nepavykusią autentifikaciją. Patvirtinkite, kad naujas įrašas atsiranda naujame faile ir kad senasis failas nustojo augti.

Patikrinkite ir naujojo failo teises, nes sukimas, kuris jį atkuria su kitu savininku, sulaužo rašytoją kitame rašyme ir sukuria spragą, kuri atrodo kaip strigtis. Prieš išeidami palyginkite savininką ir režimą su paslaugos paskyra. Tada patvirtinkite, kad suspaustas archyvas yra skaitomas, nes archyvas, kurio niekas negali atidaryti, nėra saugojimas. Greitas naujausio įrašo senajame faile perskaitymas įrodo ir suspaudimą, ir teises.

Užbaikite užrašydami kiekvieno žingsnio savininką: kuris komponentas rašo, kuris suka ir kur gyvena saugojimo politika. Būtent šis įrašas pavers kitą registravimo incidentą penkių minučių patikra, o ne pusei dienos spėliojant, kuris sluoksnis pametė eilutę.