ഉപകരണ ലോഗുകൾ വിദൂര കളക്ടറിലേക്ക് സുരക്ഷിതമായി അയയ്ക്കുന്നതെങ്ങനെ

ഉപകരണത്തിന് ലോഗുകൾ പുറപ്പെടുവിക്കാം, കളക്ടർ ഇന്റർനെറ്റിന്റെ മറുവശത്ത് ഇരിക്കുന്നു, എല്ലാവരും ആദ്യം ചോദിക്കുന്നത് ഏത് ടണൽ നിർമ്മിക്കണം എന്നാണ്। ഈ ചട്ടക്കൂട് തെറ്റായ സ്ഥലത്തുനിന്നാണ് തുടങ്ങുന്നത്। ഗതാഗതം നിർണ്ണയിക്കുന്നത് ഉപകരണത്തിന് നിർമ്മിക്കാൻ കഴിയുന്ന ഫോർമാറ്റ്, കളക്ടർ സ്വീകരിക്കുന്ന പ്രാമാണീകരണം, ലിങ്ക് വിച്ഛേദിക്കുമ്പോൾ “ഡെലിവർ ചെയ്തു” എന്നതിന്റെ അർത്ഥം എന്നിവയാണ്। ആ മൂന്ന് ഉത്തരങ്ങൾ എഴുതിവയ്ക്കുക, ഗതാഗതം സാധാരണയായി സ്വയം തിരഞ്ഞെടുക്കും।

ഉപകരണത്തിന് പുറപ്പെടുവിക്കാൻ കഴിയുന്നതിൽ നിന്ന് തുടങ്ങുക

പ്രായോഗികമായി മൂന്ന് രൂപങ്ങൾ മാത്രമുണ്ട്। UDP അല്ലെങ്കിൽ TCP-യിലൂടെയുള്ള വ്യക്തിഗത syslog ഇവന്റുകൾ, ഉൽപ്പന്നത്തിൽ ഉൾച്ചേർത്ത പ്രാമാണീകൃത HTTPS അപ്ലോഡ്, അല്ലെങ്കിൽ ഡിസ്കിൽ എഴുതി മാറ്റേണ്ട സമ്പൂർണ്ണ ഫയലുകൾ। UDP syslog മാത്രം അയയ്ക്കാൻ കഴിയുന്ന ഫയർവാൾ ടണൽ ചേർത്തതുകൊണ്ട് TLS അയയ്ക്കുന്നവനാകില്ല; അത് ഇപ്പോഴും സ്ഥിരീകരിക്കാത്ത ഡാറ്റാഗ്രാമുകൾ അയയ്ക്കും, ഇപ്പോൾ എൻക്രിപ്റ്റ് ചെയ്ത എൻവലപ്പിൽ।

അതിനാൽ ആദ്യം അയയ്ക്കുന്നയാളുടെ പട്ടിക തയ്യാറാക്കുക: പ്രോട്ടോക്കോൾ, TLS പിന്തുണയും ഏത് TLS ലൈബ്രറിയും, കളക്ടറുടെ സർട്ടിഫിക്കറ്റ് സാധൂകരിക്കാൻ കഴിയുമോ, ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കാൻ കഴിയുമോ, അയയ്ക്കൽ ബഫർ റീബൂട്ടിനെ അതിജീവിക്കുമോ। ഉപകരണത്തിന് ചെയ്യാൻ കഴിയാത്തത് പാതയിലെ മറ്റൊന്ന് ചെയ്യണം, ആ മറ്റൊന്ന് നിങ്ങളുടെ രൂപകൽപ്പനയുടെ ഭാഗമാകും।

TLS syslog: ഇരുവശവും സംസാരിക്കുമ്പോൾ ഏറ്റവും ചെറിയ പാത

ഉപകരണം TLS-ലൂടെ syslog പിന്തുണയ്ക്കുകയും കളക്ടർ അത് അവസാനിപ്പിക്കുകയും ചെയ്താൽ, അത് ഉപയോഗിച്ച് നിർത്തുക। ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോൾ സ്വയം സംരക്ഷിക്കുന്നു, കളക്ടർ അയയ്ക്കുന്നയാളെ പ്രാമാണീകരിക്കുന്നു, ഇപ്പോൾ നിങ്ങളുടെ ഉടമസ്ഥതയിലുള്ള അധിക ചുവടുവെപ്പ് ഇല്ല। കെണി എന്നത് “TLS syslog” വിശാലമായ നിർവ്വഹണങ്ങളെ ഉൾക്കൊള്ളുന്നു എന്നതാണ്, കൂടാതെ സുരക്ഷിത syslog-ന്റെ നിലവിലെ മാർഗ്ഗനിർദ്ദേശങ്ങൾ പഴയ ട്യൂട്ടോറിയലുകളിലെ സൈഫർ പട്ടികകൾക്കപ്പുറം പോയിരിക്കുന്നു, അതുകൊണ്ടാണ് പ്രവർത്തിക്കുന്ന ഫോർവേഡർ ലൈബ്രറി അപ്ഗ്രേഡിന് ശേഷം തകരുന്നത്।

rsyslog-ൽ ഗതാഗത മൊഡ്യൂളിന്റെ പേര് മാത്രം നിങ്ങൾ ഏത് യുഗത്തിലാണെന്ന് പറയുന്നു: lmnsd_gtls GnuTLS-നെ പൊതിയുന്നു, അതേസമയം lmnsd_ossl OpenSSL-നെ പൊതിയുന്നു, നിലവിലെ 8.x പാക്കേജുകൾ അതാണ് നൽകുന്നത്। സർട്ടിഫിക്കറ്റ് സാധൂകരണത്തോടെയുള്ള ഫോർവേഡ് പ്രവർത്തനം ഏകദേശം ഇങ്ങനെ കാണാം, കൃത്യമായ പാരാമീറ്റർ പേരുകൾ നിങ്ങളുടെ ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പുമായി പരിശോധിക്കേണ്ടതാണ്:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

അയയ്ക്കുന്നയാളെ ഡീബഗ് ചെയ്യുന്നതിന് മുമ്പ് എൻഡ്പോയിന്റ് പരിശോധിക്കുക। openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error സാധുവായ ചെയിനുമായി ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കുന്നു, അല്ലെങ്കിൽ ഏത് പരിശോധന പരാജയപ്പെട്ടുവെന്ന് കൃത്യമായി പറയുന്നു। ലാപ്ടോപ്പിൽ നിന്നല്ല, ഉപകരണത്തിൽ നിന്ന് പരിശോധിക്കുക, കാരണം ഉപകരണത്തിന്റെ ട്രസ്റ്റ് സ്റ്റോർ ആണ് പ്രധാനം।

SFTP: ഫയലുകൾക്ക് നല്ലത്, സ്ട്രീമുകൾക്ക് തെറ്റ്

ഫയൽ അടിസ്ഥാനമാക്കിയ ഡെലിവറി, ഭ്രമണം ചെയ്യുന്ന ലോഗുകൾ മാത്രം എഴുതുന്ന ഉപകരണങ്ങൾക്ക് അനുയോജ്യമാണ്। SSH അടിസ്ഥാനമാക്കിയ കൈമാറ്റം ഹോസ്റ്റ് കീകൾ, ഓരോ അക്കൗണ്ടിന്റെയും കീകൾ, ഓഡിറ്റ് ചെയ്യാൻ കഴിയുന്ന ഫയൽ സിസ്റ്റം എന്നിവ നൽകുന്നു, ഇത് TLS ഒട്ടും ചെയ്യാൻ കഴിയാത്ത ഉപകരണത്തിന് ന്യായമായ വിശ്വാസ കഥയാണ്। ഇവന്റ് സ്ട്രീമുകൾക്ക് ഇത് മോശം തിരഞ്ഞെടുപ്പാണ്, “ഫയൽ ഓരോ മണിക്കൂറും എഴുതുന്നു” എന്നതിന്റെ അർത്ഥം ഒരു തടസ്സം നിലവിലെ മണിക്കൂറിന്റെ വാൽ നഷ്ടപ്പെടുത്തുന്നു എന്നാണ്।

ഹോസ്റ്റ് പരിശോധന ഓണായി സൂക്ഷിക്കുക। പ്രോംപ്റ്റ് ഒഴിവാക്കാൻ അത് ഓഫാക്കുന്ന ബാച്ച് വിളി ഗതാഗതത്തിനുള്ള ഏക പ്രാമാണീകരണം നശിപ്പിക്കുന്നു:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

പ്രൊവിഷനിംഗിനിടയിൽ അക്കൗണ്ടിന്റെ known_hosts-ൽ ഹോസ്റ്റ് കീ പിൻ ചെയ്യുക, അക്കൗണ്ട് ലക്ഷ്യ ഡയറക്ടറിയിൽ പരിമിതപ്പെടുത്തുക, chroot-ഉള്ള internal-sftp സബ്സിസ്റ്റം മുൻഗണന നൽകുക। വീണ്ടും അയയ്ക്കലിന്റെ കഥയും ആസൂത്രണം ചെയ്യുക: ഭാഗിക പരാജയത്തിന് ശേഷം ഒരു ഫയൽ വീണ്ടും അയച്ചാൽ, കളക്ടർ പകർപ്പിനെ പുതിയ ഫയലിൽ നിന്ന് വേർതിരിച്ചറിയണം, സാധാരണയായി പേരും ചെക്ക്സവും ഉപയോഗിച്ച്, എത്തിച്ചേരൽ സമയം കൊണ്ടല്ല।

പ്രാദേശിക ഗേറ്റ്വേയോ ടണലോ സത്യസന്ധമായ ഉത്തരമാകുമ്പോൾ

ചില ഉപകരണങ്ങൾക്ക് ആരും വെളിപ്പെടുത്താൻ ആഗ്രഹിക്കാത്ത ഫോർമാറ്റിൽ മാത്രം സംസാരിക്കാൻ കഴിയും। അത്തരം സാഹചര്യത്തിൽ ഉപകരണത്തിന്റെ സ്വന്തം നെറ്റ്വർക്കിലെ അധികാരമുള്ള കളക്ടർ സ്വദേശീയ ഫോർമാറ്റ് സ്വീകരിച്ച് TLS വഴി മുന്നോട്ട് അയയ്ക്കുന്നു। ഇത് നിയമാനുസൃതമായ രൂപകൽപ്പനയാണ്, പക്ഷേ അത് എന്താണ് വാങ്ങുന്നതെന്ന് കൃത്യമായി പറയുക: ഗേറ്റ്വേയിൽ ആരംഭിക്കുന്ന എൻക്രിപ്ഷൻ ഉപകരണത്തിനും ഗേറ്റ്വേയ്ക്കും ഇടയിലുള്ള ഭാഗത്തെ പിന്നോട്ട് സംരക്ഷിക്കുന്നില്ല, അതിനാൽ ആ ചുവടുവെപ്പിന് ഇപ്പോഴും സ്വന്തം വിശ്വാസ അതിർത്തിയും പ്രവേശന നിയന്ത്രണവും ആവശ്യമാണ്।

റൂട്ട് ചെയ്ത സൈറ്റ് അല്ലെങ്കിൽ ഉപകരണ ടണൽ ഏറ്റവും ഭാരമേറിയ ഓപ്ഷനാണ്, ഒപ്പം കളക്ടർ ഒരു സ്വകാര്യ വിലാസം നിലനിർത്തേണ്ടിവരുമ്പോൾ ലോഗുകൾ മാത്രമല്ല, നിരവധി സേവനങ്ങൾ വഹിക്കേണ്ടിവരുമ്പോൾ ശരിയായതും। ഇത് വിലാസ ആസൂത്രണം, പ്രവേശന നിയമങ്ങൾ, മടങ്ങിവരവ് പാതകൾ, ടണലിന്റെ അന്തിമ ബിന്ദുവിന്റെ ജീവിതചക്രം എന്നിവ കൊണ്ടുവരുന്നു। ഇത് ആന്തരിക പ്രോട്ടോക്കോൾ മെച്ചപ്പെടുത്തുന്നുമില്ല: IPsec ടണലിനുള്ളിലെ UDP syslog ഇപ്പോഴും ഡെലിവറി സ്ഥിരീകരണമില്ലാത്ത ഡാറ്റാഗ്രാം സേവനമാണ്।

നിങ്ങൾ എന്ത് തിരഞ്ഞെടുത്താലും കളക്ടറുടെ അധികാരം ഗതാഗതത്തേക്കാൾ ഇടുങ്ങിയതായി സൂക്ഷിക്കുക। ടണലിന്റെ ഐഡന്റിറ്റി ഒരു അന്തിമ ബിന്ദുവിന് സ്വന്തമാണ്, സന്ദേശത്തിലെ ഒരു നിർദ്ദിഷ്ട ഹോസ്റ്റ്നെയിം ഫീൽഡ് ഏത് താഴ്ന്ന ഉപകരണം നിർമ്മിച്ചു എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല।

അയയ്ക്കുന്നതിന് മുമ്പ് ഡെലിവറി കരാർ എഴുതുക

എൻക്രിപ്ഷൻ, പ്രാമാണീകരണം, നിലനിർത്തൽ എന്നിവ വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, ഒരു ക്യൂ നിലനിർത്തൽ നയമല്ല। ആദ്യ ലോഗ് ഉപകരണം വിടുന്നതിന് മുമ്പ്, ഈ കളക്ടറിൽ സ്ഥിരീകരണം യഥാർത്ഥത്തിൽ എന്താണ് അർത്ഥമാക്കുന്നതെന്ന് തീരുമാനിക്കുക: വയറിൽ സ്വീകരിച്ചു, പ്രോസസ്സിംഗിനായി സ്വീകരിച്ചു, അല്ലെങ്കിൽ സംഭരണത്തിലേക്ക് ദൃഢമായി എഴുതി। ഇവ മൂന്ന് വ്യത്യസ്ത ഉറപ്പുകളാണ്, അവസാനത്തേത് മാത്രമാണ് കളക്ടറുടെ റീസ്റ്റാർട്ടിനെ അതിജീവിക്കുന്നത്।

തുടർന്ന് പ്രവർത്തനപരമായ ചോദ്യങ്ങൾക്ക് രേഖാമൂലം ഉത്തരം നൽകുക। അയയ്ക്കാത്ത ഇവന്റുകൾ എവിടെ കാത്തിരിക്കുന്നു, ആ ബഫർ വൈദ്യുതി മുടക്കത്തെ അതിജീവിക്കുമോ? അത് നിറയുമ്പോൾ എന്ത് സംഭവിക്കുന്നു, ആരെ അറിയിക്കുന്നു? വീണ്ടും ശ്രമങ്ങൾ എങ്ങനെ പരിമിതപ്പെടുത്തുന്നു, പകർപ്പുകൾ എങ്ങനെ തിരിച്ചറിയുന്നു? ഫോർവേഡിംഗ് ചുവടുവെപ്പ് ഹോസ്റ്റ്നെയിം വീണ്ടും എഴുതാമെന്നിരിക്കെ, ഏത് ഫീൽഡാണ് അയയ്ക്കുന്നയാളുടെ ഐഡന്റിറ്റി തെളിയിക്കുന്നത്?

ഒരു ഖണ്ഡികയിൽ വിശദീകരിക്കാൻ കഴിയുന്നത്ര ചെറുതായി രൂപകൽപ്പന സൂക്ഷിക്കുക: ആവശ്യമായ ഇവന്റുകൾ വഹിക്കുന്ന ഏറ്റവും ചെറിയ പിന്തുണയുള്ള ഗതാഗതം, അത് നൽകാത്ത ഉറപ്പുകളെക്കുറിച്ചുള്ള വ്യക്തമായ പ്രസ്താവനയും। ഉത്തരത്തിന് രണ്ട് ചുവടുവെപ്പ് വേണമെങ്കിൽ, അത് runbook-ൽ പറയുക, ഓരോ ചുവടുവെപ്പിനും ഒരു ഉടമയെ നൽകുക।