Uzraudzīt VPN vienaudžus, neierakstot, kur viņi pārlūko

VPN vienaudža uzraudzībai vajag četrus faktus, un neviens no tiem nav galamērķis. Vai tunelis ir augšā, kad tas pēdējo reizi apmainījās trafiku, kuras atslēgas piedalās un cik pārvietojās, ir pietiekami pieejamībai. Viss, kas ir vairāk, ir ieraksts par personu, un tam jābūt apzinātam lēmumam, nevis statusa lapas atvēršanas blakusefektam. Sāc ar jautājumu, uz kuru jāatbild, un tad izvēlies mazāko izvadi, kas uz to atbild.

Izlem jautājumu pirms rīka

Vispirms pieraksti operatīvo jautājumu: vai šis vienaudzis ir pieslēgts un vai tas kustina trafiku? Šim jautājumam vajag tiešu skatu, un tiešam skatam nav glabāšanas problēmas. Otrs jautājums, vai vienaudzis bija pieslēgts pagājušajā otrdienā pulksten 02:00, prasa saglabātu sēriju un tāpēc glabāšanas lēmumu. Šo divu atdalīšana ir viss dizains, jo tiešais skats ir lēts, bet saglabātā sērija pārvēršas datu aizsardzības sarunā.

Turklāt turi veselības pārbaudi atsevišķi no statusa izvades. Nesen rokas paspiešana pierāda, ka tunelis ir vienojies, nevis ka aiz tā esošā privātā lietojumprogramma darbojas, tāpēc pārbaudi lietojumprogrammu ar atļautu pārbaudi, nevis secini to no skaitītājiem. Kad pārbaude neizdodas un rokas paspiešana ir nesen, problēma ir aiz tuneļa.

Lasi trīs laukus, kas uz to atbild

Vienkāršā WireGuard statusa izvade satur saskarni, publisko atslēgu, galapunktu, pēdējo rokas paspiešanu un pārsūtīšanas skaitītājus. Klātbūtnei vajag publisko atslēgu un pēdējo rokas paspiešanu; ja vajag, pievieno baitu skaitītājus, lai redzētu kustību. Galapunkts klātbūtnei nav vajadzīgs un ir pirmais lauks, no kura atteikties, jo tas identificē, no kurienes ierīce pieslēdzas. Rokasgrāmatas lapa apraksta katru lauku, ko rīks izdrukā, un tā ir pietiekami īsa, lai to izlasītu vienreiz:

wg show
wg show wg0 latest-handshakes

Lasi šos skaitļus kā vecumu, nevis kā loģiskās vērtības. Rokas paspiešana ir aktuāla tikai attiecībā pret protokola paša atslēgu atjaunošanas intervālu, un skaitītājs, kas nav kustējies, var nozīmēt dīkstāvē esošu vienaudzi, nevis bojātu. Turi abus vienā skatā, lai vecums un kustība tiktu lasīti kopā.

Izvēlies intervālu, ko vari aizstāvēt

Katrs statusa paraugs ir ieraksts, tāpēc intervāls ir glabāšanas lēmums ar uzraudzības etiķeti. Desmit sekunžu paraugs dod smalku detaļu un vairo saglabātās rindas, bet vienas minūtes paraugs parasti ir pietiekams pieejamībai par sesto daļu no izmaksām. Izvēlies intervālu pēc apsolītā atbildes laika, nevis pēc tā, ko rīks var. Tad pieraksti skaitli blakus panelim.

OpenVPN gadījumā statusa līdzeklis raksta failu noteiktā intervālā. Servera konfigurācijā tas izskatās šādi status /var/log/openvpn-status.log 60, kur skaitlis beigās ir sekundes starp pārrakstīšanām, un fails tiek aizstāts, nevis papildināts. Šī detaļa ir svarīga: aizstātam failam nav vēstures, bet papildinošs vācējs to rada.

Apstiprini, ka vācējs arī ievēro intervālu. Rīks, kas ņem paraugu katru sekundi un glabā vienu rindu minūtē, joprojām lasa katru sekundi.

Turi etiķetes stabilas un kartējumu ierobežotu

Publiskā atslēga identificē ierīces attiecības pat bez pievienota vārda, tāpēc izturies pret atslēgu kā pret personas datiem, nevis kā pret necaurredzamu identifikatoru. Atzīmē vienaudžus ar stabiliem iekšējiem identifikatoriem, kas pārdzīvo atkārtotus pieslēgumus, un turi identifikatora kartējumu uz personu ierobežotā vietā. Panelis, kas raksta laika rindu, ir saglabāts ieraksts arī tad, kad VPN neglabā savu failu. Kad panelis ir vienīgā krātuve, glabāšanas noteikums attiecas tieši uz paneli.

Pārskati arī eksporta ceļu, jo nokopēts CSV dzīvo ilgāk nekā sistēma, kas to radīja. Apkopotā pieejamība bieži ir pietiekama ziņojumam: vienaudžu ar rokas paspiešanu logā īpatsvars atbild uz operatīvo jautājumu, neuzskaitot, kurš kad bija pieslēgts.

Dokumentē, ko vāc un ko nevāc

Apraksti vākšanu vienkāršā valodā: kuri lauki, no kuras saskarnes, kādā intervālā, kur glabāti, cik ilgi tiek turēti un kas tos var lasīt. Novieto to blakus runbook, nevis politikas krātuvē, ko neviens incidenta laikā neatver. Aprakstā jānorāda arī tas, ko uzraudzība nevar redzēt, jo tieši tas neļauj kādam pieņemt, ka pārlūkošanas datu neesamība nozīmē ierakstu neesamību.

Pārskati glabāšanas logu ikreiz, kad uzraudzība mainās, jo jauns lauks klusi pagarina glabāto. Tad dzēs to, ko apraksts saka dzēst, un pārbaudi, vai dzēšana tiešām notika.