Statusfila tel økter, ikkje LAN-et bak dei

Nokon spør kor mange maskiner som er på VPN-en, og statusfila blir lagd fram som prov. Ho svarar på eit smalare spørsmål: kor mange økter som finst i dette augeblinksbiletet, og kva virtuelle adresser tenaren rutar. Gapet mellom dei to spørsmåla er der dei fleste rapporteringsfeila bur, og å lukke det byrjar med å lese dei eigne overskriftene til fila.

Kva augeblinksbiletet faktisk inneheld

Fila blir skriven med eit intervall når statusutdata er konfigurert for den tenarinstansen, så det er eit periodisk bilete og ikkje ein direkte straum. Seksjonane listar økter og intern rutetilstand kvar for seg, og formatversjonen avgjer kolonneoppsettet.

status /run/openvpn/office.status 30
status-version 3

Versjon 3 skriv tabulatordelte felt med ei overskriftsrad, medan eldre format er annleis og seinare versjonar kan leggje til felt. Les overskrifta i staden for å hardkode eit kolonnenummer, fordi eit skript som går ut frå posisjonar, bryt stille ved neste oppgradering.

Tel økter, ikkje personar eller maskiner

Éin stadstilkopling kan bera trafikk for fleire autoriserte maskiner bak seg. Éin person kan også halde meir enn éi økt samtidig, frå ein berbar PC og ein telefon. Ingen av mønstera er synlege i teljinga, og difor gir tilkopla brukarar berre meining når du definerer eininga. Spør kva eining rapporten treng før nokon byrjar å telje.

Viss talet har noko å seie for lisensiering eller kapasitet, definer eininga i same dokumentet som rapporten. Ein rapport som ikkje seier om han tel økter, identitetar eller einingar, blir lesen som den eininga lesaren venta.

Den ytre adressa er ikkje ein identifikator

Feltet for den reelle adressa er peer-adressa og porten slik tenaren ser dei. Fleire klientar bak éi omsett offentleg adresse deler den adressa, så gruppering etter henne slår saman urelaterte økter. Porten endrar seg også mellom tilkoplingar, noko som gjer paret ubrukeleg som stabil nøkkel. Ein rapport gruppert slik ser presis ut og er feil.

Bruk den effektive klientidentiteten til gruppering, og handsam adressa som ein transportdetalj. Når to rader deler ein identitet, tyder det vanlegvis samtidige økter og ikkje ein duplikatpost.

Ruterader er ikkje ein vertsoversikt

Ei ruteoppføring kan namngje eit subnett som ein peer er ansvarleg for, og eit subnett er ikkje ei liste over vertane sine. Tenaren veit at han skal sende det området til ei bestemt økt, og han anar ikkje kva av maskinene som er slått på, autentiserte i ein applikasjon eller nyttige for nokon. Rutertabellen skildrar tilgjenge, ikkje belegg. Den skilnaden er heile grunnen til at ein VPN ikkje kan svare på eit inventarspørsmål.

Fleire rader kan også peike på same peer, fordi ein stad kan annonsere meir enn eitt område. Å telje rader og kalle resultatet eit einingstal overdriv utrullinga med ein vilkårleg faktor.

Viss kravet verkeleg er eit aktivainventar, bruk inventarprosessen som eig det nettverket. VPN-en kan identifisere kva peer som ber ei rute, og det er eit anna faktum enn kva vertar som finst bak henne.

Alder, løyve og ei direkte vising

Ta vare på endringstida til fila saman med kvart svar. Ein tenar som stoppa for timar sidan, lèt det siste augeblinksbiletet sitt bli ståande, og ei utdatert fil presentert som gjeldande er verre enn ingen rapport.

Katalogen må finnast og vere skrivbar for kontoen tenesta faktisk køyrer som, noko som er lett å gløyme etter ein herdingsrunde. Fila inneheld vanlegvis namn og adresser, så oppbevar henne på ein administrativ stad og ikkje kvar som helst ein webserver kan levere henne. Kontroller løyva frå tenestekontoen, ikkje frå skalet ditt. Eit augeblinksbilete som stille sluttar å oppdatere seg, ser nøyaktig ut som eit roleg nettverk.

For hendingsdrivne behov, bruk det støtta administrasjonsgrensesnittet i staden for å polle raskare. Handsam det grensesnittet som kontroll, ikkje som målingar, og aldri eksponer det mot internett berre for å telje økter.