Pantau rakan sebaya VPN tanpa merekod ke mana mereka melayari

Memantau rakan sebaya VPN memerlukan empat fakta, dan tiada satu pun daripadanya destinasi. Sama ada terowong aktif, bila ia bertukar trafik kali terakhir, kunci mana yang terlibat dan berapa banyak bergerak sudah cukup untuk ketersediaan. Apa-apa melebihi itu ialah rekod tentang seseorang, dan ia sepatutnya keputusan yang disengajakan bukan kesan sampingan membuka halaman status. Mulakan dengan soalan yang perlu anda jawab, kemudian pilih output terkecil yang menjawabnya.

Putuskan soalan sebelum alat

Tulis soalan operasi dahulu: adakah rakan sebaya ini disambungkan, dan adakah ia menggerakkan trafik? Soalan itu memerlukan paparan langsung, dan paparan langsung tiada masalah pengekalan. Soalan kedua, sama ada rakan sebaya disambungkan pada 02:00 Selasa lalu, memerlukan siri tersimpan dan oleh itu keputusan pengekalan. Memisahkan kedua-duanya ialah keseluruhan reka bentuk, kerana paparan langsung murah manakala siri tersimpan bertukar menjadi perbualan tentang perlindungan data.

Kekalkan pemeriksaan kesihatan berasingan daripada output status juga. Handshake baru membuktikan terowong telah berunding, bukan bahawa aplikasi peribadi di belakangnya berfungsi, jadi uji aplikasi melalui pemeriksaan yang dibenarkan dan bukannya menyimpulkannya daripada pembilang. Apabila pemeriksaan gagal dan handshake baru, masalahnya terletak di sebalik terowong.

Baca tiga medan yang menjawabnya

Output status biasa WireGuard membawa antara muka, kunci awam, titik akhir, handshake terkini dan pembilang pemindahan. Kehadiran memerlukan kunci awam dan handshake terkini; jika perlu, tambah pembilang bait untuk melihat pergerakan. Titik akhir tidak diperlukan untuk kehadiran dan merupakan medan pertama yang perlu digugurkan, kerana ia mengenal pasti dari mana peranti bersambung. Halaman manual menerangkan setiap medan yang dicetak alat itu, dan ia cukup pendek untuk dibaca sekali:

wg show
wg show wg0 latest-handshakes

Baca nombor itu sebagai umur bukan sebagai boolean. Handshake hanya terkini berbanding selang pembaharuan kunci protokol itu sendiri, dan pembilang yang tidak bergerak mungkin bermakna rakan sebaya terbiar bukan yang rosak. Kekalkan kedua-duanya dalam paparan yang sama supaya umur dan pergerakan dibaca bersama.

Pilih selang yang anda boleh pertahankan

Setiap sampel status ialah rekod, jadi selang itu ialah keputusan pengekalan yang memakai label pemantauan. Sampel setiap sepuluh saat memberi perincian halus dan menggandakan baris tersimpan, manakala sampel setiap minit biasanya cukup untuk ketersediaan pada satu per enam kos. Pilih selang daripada masa tindak balas yang anda janjikan dan bukan daripada apa yang alat boleh lakukan. Kemudian tulis nombor itu di sebelah papan pemuka.

Untuk OpenVPN, kemudahan status menulis fail pada selang yang dikonfigurasikan. Dalam konfigurasi pelayan ia kelihatan seperti ini status /var/log/openvpn-status.log 60, di mana nombor di hujung ialah saat antara penulisan semula, dan fail diganti bukan ditambah. Perincian itu penting: fail yang diganti tiada sejarah, manakala pengumpul yang menambahnya mencipta sejarah.

Sahkan bahawa pengumpul juga mematuhi selang. Alat yang mengambil sampel setiap saat dan menyimpan satu baris seminit masih membaca setiap saat.

Kekalkan label stabil dan pemetaan terhad

Kunci awam mengenal pasti hubungan peranti walaupun tanpa nama dilampirkan, jadi anggap kunci itu sebagai data peribadi bukan pengecam legap. Labeli rakan sebaya dengan pengecam dalaman stabil yang bertahan sambungan semula, dan kekalkan pemetaan daripada pengecam kepada orang di tempat terhad. Papan pemuka yang menulis siri masa ialah rekod tersimpan walaupun VPN tidak menyimpan fail sendiri. Apabila papan pemuka ialah satu-satunya storan, di situlah peraturan pengekalan terpakai.

Semak juga laluan eksport, kerana CSV yang disalin hidup lebih lama daripada sistem yang menghasilkannya. Ketersediaan agregat selalunya cukup untuk laporan: perkadaran rakan sebaya dengan handshake dalam tetingkap menjawab soalan operasi tanpa menyenaraikan siapa bersambung bila.

Dokumenkan apa yang anda kumpul dan apa yang tidak

Tulis penerangan pengumpulan dalam bahasa mudah: medan mana, dari antara muka mana, pada selang apa, disimpan di mana, disimpan berapa lama dan siapa boleh membacanya. Letakkan di sebelah runbook dan bukan dalam repositori dasar yang tiada siapa membuka semasa insiden. Penerangan itu juga harus menyatakan apa yang pemantauan tidak dapat lihat, kerana itulah yang menghalang seseorang daripada menganggap ketiadaan data pelayaran bermakna ketiadaan rekod.

Semak tetingkap pengekalan setiap kali pemantauan berubah, kerana medan baru secara senyap memanjangkan apa yang disimpan. Kemudian padam apa yang penerangan katakan anda padam, dan sahkan bahawa pemadaman benar-benar berlaku.