Каде OpenVPN серверот треба да го пишува својот дневник и зошто

Дизајнот на дневникот одговара на три прашања: кој процес создал запис, каде тој запис завршува и колку долго преживува. OpenVPN може да пишува во датотека, да им ги предава пораките на системскиот логер или да ги препушти на она што управувачот на услуги го фаќа, и тоа не се три копии од еден тек. Секој избор менува кој ја поседува ротацијата, кој корисник може да го чита резултатот и што се случува за време на стартувањето. Решете ги одговорите пред инцидент, бидејќи потоа го наследувате она што е конфигурирано.

Што демонот всушност прави со директивата

Директивите не се апстракции; секоја одлучува каде процесот ги пишува своите пораки. log /path ја отвора таа датотека, log-append /path ја отвора за додавање, а syslog им ги предава пораките на локалниот системски логер преку својот сокет. Без ниту една од нив, излезот оди на стандардниот излез, а управувачот на услуги одлучува што се случува потоа. Прочитајте ја делотворната единица и профилот заедно пред да заклучите дека демонот ја игнорира вашата конфигурација.

Последниот случај е вообичаен при пакетна инсталација и објаснува зошто двајца администратори не се согласуваат каде живее дневникот. Едниот го чита journal-от на единицата, другиот датотека што демонот никогаш не ја напишал.

Проверете ја конфигурацијата што работи, а не датотеката на дискот. Drop-in прегазување на единицата или датотека со околина можат да ја сменат делотворната директива без да го допрат профилот што го читате.

log скратува, log-append не

log скратува постоечка датотека кога директивата стапува на сила, па рестартирањето ги брише доказите од претходно. log-append го задржува она што е таму и додава. Ниту едната опција не ротира ништо и ниту едната не ја отвора датотеката повторно сама, затоа ротацијата бара соработка.

Ако ротацијата ја преименува датотеката додека демонот продолжува да пишува во стариот дескриптор, новата датотека останува празна, а потрошувачката на дискот продолжува да расте во преименуваната. Сигнализирајте му на процесот да отвори повторно или ротирајте со стратегија копирај-па-скрати и прифатете го копирниот прозорец.

Директориумот, сопственоста и дозволите се дел од дизајнот. Демонот може по стартувањето да работи како непривилегиран корисник, а директориумот што root го создал при инсталацијата тогаш можеби нема да биде запишлив. Подгответе го преку пакувањето или процесот на распоредување, наместо да поправате дозволи за време на инцидент.

Управувачот на услуги држи втора копија

systemd стандардно ги фаќа стандардниот излез и стандардната грешка, така што единицата без изречно пренасочување веќе има дневник. Додавањето датотечна директива дава два тека со различно задржување, различни читатели и различни временски ознаки.

Тоа не е автоматски погрешно, но мора да биде одлука. Задржете го записот за стартување во journal-от, бидејќи дефектите пред да постои конфигурираната датотека не се појавуваат никаде на друго место. Потоа направете ја датотеката авторитативна за настаните во стабилно работење и напишете го тоа во runbook-от. Два авторитативни тека значат два одговори на секое прашање.

Потврдете го изборот со тест што намерно не успева. Стартувајте го демонот со нечитлив сертификат и проверете кој тек ја запишува грешката.

Опширноста не е исто што и употреблив детаљ

Повисоко ниво на verb додава повеќе редови, а по одредена точка редови што никој не ги чита. Ниво 3 е разумна стабилна состојба за повеќето распоредувања, додека ниво 4 и повисоко одговараат на ограничена истрага со познато прашање. Потиснувањето повторувања го намалува шумот, но не смее да крие колку често се повторува некој настан. Поставете ниво што можете да го одржувате и подигнете го само за именувана истрага со крај.

Задржете го идентитетот на инстанцата и временските ознаки во записот. Повторното поврзување изгледа точно како прво кога датотеката месеци се дополнува, а името на инстанцата недостига.

Внимавајте што друго слетува во таа датотека. Пренасочениот излез може да содржи текст од повикани скрипти, а помошна програма што ја печати својата околина става акредитиви и патеки до клучеви во читлив дневник. Третирајте го пристапот до дневникот како безбедносна одлука дури и кога самиот демон не печати ништо чувствително.

Ротација, задржување и сигналите што вчитуваат повторно

Договорете го задржувањето со лицето што го поседува дискот и поставете го пред волуменот да одлучи наместо вас. Сигналот за повторно вчитување не е команда за одржување на дневникот: погрешниот сигнал го рестартира тунелот и го исклучува секој корисник. Напишете ја постапката за повторно отворање до правилото за ротација, за да не се разделат.

Резултатот треба да биде услуга што операторот може да ја опише: еден авторитативен тек, секој настан сместен во животниот циклус и запис достапен без собирање на секоја датотека со тајни на хостот. Тој опис е прифатниот тест за дизајнот, и неговото проверување пред следниот инцидент е ефтино.