උපාංග ලොග් දුරස්ථ එකතුකරන්නෙකුට ආරක්ෂිතව යැවීමේ ක්‍රමය

උපාංගයට ලොග් නිකුත් කළ හැක, එකතුකරන්නා අන්තර්ජාලයේ අනෙක් පස අසුන්ගෙන සිටී, සහ සැමගේ පළමු ප්‍රශ්නය වන්නේ කුමන උමං තැනිය යුතුද යන්නයි. එම රාමුව ආරම්භ වන්නේ වැරදි තැනකිනි. ප්‍රවාහනය තීරණය කරන්නේ උපාංගයට නිපදවිය හැකි ආකෘතිය, එකතුකරන්නා පිළිගන්නා සත්‍යාපනය, සහ සබැඳිය බිඳ වැටුණු විට “බෙදාහරින ලදී” යන්නෙන් අදහස් විය යුතු දේය. එම පිළිතුරු තුන ලියා තබන්න, ප්‍රවාහනය සාමාන්‍යයෙන් තමන්ම තෝරාගනී.

උපාංගයට නිකුත් කළ හැකි දෙයින් ආරම්භ කරන්න

ප්‍රායෝගිකව ඇත්තේ ආකෘති තුනක් පමණි. UDP හෝ TCP හරහා තනි syslog සිදුවීම්, නිෂ්පාදනයේ ගොඩනගන ලද සත්‍යාපිත HTTPS උඩුගත කිරීම, හෝ තැටියට ලියා ගෙන යා යුතු සම්පූර්ණ ගොනු. UDP syslog පමණක් යැවිය හැකි ගිනිපවුරක් උමං එකතු කළ නිසා TLS යවන්නෙකු නොවේ; එය තවමත් තහවුරු නොකළ දත්තග්‍රෑම් යවනු ඇත, දැන් සංකේතනය කළ ලකුණු කවරයක් තුළ.

එබැවින් පළමුව යවන්නා ලැයිස්තුගත කරන්න: ප්‍රොටෝකෝලය, TLS ආධාරකය සහ කුමන TLS පුස්තකාලය, එකතුකරන්නාගේ සහතිකය සත්‍යාපනය කළ හැකිද, සේවාලාභී සහතිකය ඉදිරිපත් කළ හැකිද, සහ යැවීමේ බෆරය නැවත ආරම්භයෙන් ගැලවෙන්නේද. උපාංගයට කළ නොහැකි සියල්ල මාර්ගයේ වෙනත් දෙයක් කළ යුතු අතර, එම වෙනත් දෙය ඔබේ නිර්මාණයේ කොටසක් වේ.

TLS syslog: දෙපසම එය කතා කරන විට කෙටිම මාර්ගය

උපාංගය TLS හරහා syslog ආධාරක කරන්නේ නම් සහ එකතුකරන්නා එය අවසන් කරන්නේ නම්, එය භාවිතා කර නවතින්න. යෙදුම් ප්‍රොටෝකෝලය තමන් ආරක්ෂා කරගනී, එකතුකරන්නා යවන්නා සත්‍යාපනය කරයි, සහ දැන් ඔබට හිමි අතිරේක පියවරක් නොමැත. උගුල වන්නේ “TLS syslog” පුළුල් ක්‍රියාත්මක කිරීම් ආවරණය කිරීමයි, සහ ආරක්ෂිත syslog සඳහා වර්තමාන මාර්ගෝපදේශ පැරණි නිබන්ධනවල සංකේත ලැයිස්තුවලට වඩා ඉදිරියට ගොස් ඇත, එබැවින් ක්‍රියාකාරී යැවුම්කරුවෙකු පුස්තකාල උත්ශ්‍රේණි කිරීමකින් පසු බිඳේ.

rsyslog හි ප්‍රවාහන මොඩියුලයේ නම පමණක් ඔබ කුමන යුගයක සිටීද යන්න කියයි: lmnsd_gtls GnuTLS ආවරණය කරයි, lmnsd_ossl OpenSSL ආවරණය කරයි, සහ වර්තමාන 8.x පැකේජ එය සපයයි. සහතික සත්‍යාපනය සහිත යැවීමේ ක්‍රියාව ආසන්න වශයෙන් මෙසේ පෙනේ, සහ නිශ්චිත පරාමිති නම් ඔබේ ස්ථාපිත අනුවාදය සමඟ පරීක්ෂා කිරීම වටී:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

යවන්නා දෝෂ නිරාකරණය කිරීමට පෙර අන්ත ලක්ෂ්‍යය සත්‍යාපනය කරන්න. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error වලංගු දාමයක් සමඟ අත්වැල් ගැසීම සම්පූර්ණ කරයි, නැතහොත් කුමන පරීක්ෂාව අසාර්ථක වූයේදැයි නිශ්චිතව කියයි. උපාංගයෙන්ම පරීක්ෂා කරන්න, ඔබේ ලැප්ටොප් එකෙන් නොව, මන්ද උපාංගයේ විශ්වාස ගබඩාව වැදගත් වේ.

SFTP: ගොනු සඳහා හොඳයි, ප්‍රවාහ සඳහා වැරදියි

ගොනු මත පදනම් වූ බෙදාහැරීම භ්‍රමණය වන ලොග් ලියන අතර වෙනත් කිසිවක් නොකරන උපාංග සඳහා සුදුසුය. SSH මත පදනම් වූ මාරු කිරීම ඔබට සත්කාරක යතුරු, ගිණුමකට යතුරු සහ විගණනය කළ හැකි ගොනු පද්ධතියක් ලබා දෙයි, එය TLS කිසිසේත් කළ නොහැකි උපාංගයකට සාධාරණ විශ්වාස කතාවකි. සිදුවීම් ප්‍රවාහ සඳහා මෙය නරක තේරීමකි, එහිදී “ගොනුව සෑම පැයකටම ලියැවේ” යන්නෙන් අදහස් වන්නේ බාධාවක් ඔබට වර්තමාන පැයේ වලිගය අහිමි කරන බවයි.

සත්කාරක සත්‍යාපනය සක්‍රීයව තබන්න. විමසුමක් මඟහරවා ගැනීමට එය අක්‍රීය කරන කණ්ඩායම් ඇමතුම ප්‍රවාහනයට ඇති එකම සත්‍යාපනය විනාශ කරයි:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

සැපයීමේදී ගිණුමේ known_hosts හි සත්කාරක යතුර ඇමිණු කරන්න, ගිණුම ඉලක්ක නාමාවලියට සීමා කරන්න, සහ chroot සහිත internal-sftp උපපද්ධතියට මුල් තැන දෙන්න. නැවත යැවීමේ කතාව ද සැලසුම් කරන්න: අර්ධ අසාර්ථකත්වයකින් පසු ගොනුවක් නැවත යැවුවහොත්, එකතුකරන්නා අනුපිටපතක් නව ගොනුවකින් වෙන්කර හඳුනාගත යුතුය, සාමාන්‍යයෙන් නම සහ චෙක්සම් මගින්, පැමිණීමේ වේලාවෙන් නොව.

දේශීය ද්වාරයක් හෝ උමං අවංක පිළිතුර වන විට

සමහර උපාංග කිසිවෙකුට හෙළිදරව් කිරීමට අවශ්‍ය නැති ආකෘතියක් පමණක් කතා කළ හැක. එවැනි අවස්ථාවක උපාංගයේම ජාලයේ බලයලත් එකතුකරන්නෙකු මූලික ආකෘතිය ලබාගෙන TLS හරහා ඉදිරියට යවයි. එය නීත්‍යානුකූල නිර්මාණයකි, නමුත් එය කුමක් මිලදී ගන්නේද යන්න නිශ්චිතව කියන්න: ද්වාරයේ ආරම්භ වන සංකේතනය උපාංගය සහ ද්වාරය අතර කොටස පසුගාමීව ආරක්ෂා නොකරයි, එබැවින් එම පියවරට තවමත් තමන්ගේම විශ්වාස සීමාව සහ ප්‍රවේශ පාලනය අවශ්‍යය.

මාර්ගගත අඩවි හෝ උපාංග උමං වඩාත්ම බර විකල්පය වන අතර එකතුකරන්නා පෞද්ගලික ලිපිනයක් තබා ගත යුතු විට සේවා කිහිපයක් රැගෙන යා යුතු විට නිවැරදි වේ, ලොග් පමණක් නොව. එය ලිපින සැලසුම්කරණය, ප්‍රවේශ නීති, ආපසු මාර්ග සහ උමං අන්ත ලක්ෂ්‍යයේ ජීවන චක්‍රය ගෙන එයි. එය අභ්‍යන්තර ප්‍රොටෝකෝලය ද වැඩිදියුණු නොකරයි: IPsec උමං තුළ UDP syslog තවමත් බෙදාහැරීමේ තහවුරු කිරීමක් නොමැති දත්තග්‍රෑම් සේවාවකි.

ඔබ තෝරන කුමක් වුවත්, එකතුකරන්නාගේ අවසරය ප්‍රවාහනයට වඩා පටුව තබන්න. උමං අනන්‍යතාවය අන්ත ලක්ෂ්‍යයකට අයත් වන අතර, පණිවිඩයක දී ඇති සත්කාරක නාම ක්ෂේත්‍රය කුමන පහළ උපාංගයක් නිපදවාද යන්න ගැන කිසිවක් නොකියයි.

යැවීමට පෙර බෙදාහැරීමේ ගිවිසුම ලියන්න

සංකේතනය, සත්‍යාපනය සහ රඳවා ගැනීම වෙනස් ප්‍රශ්නවලට පිළිතුරු දෙයි, පෝලිමක් රඳවා ගැනීමේ ප්‍රතිපත්තියක් නොවේ. පළමු ලොගය උපාංගයෙන් පිටවීමට පෙර, මෙම එකතුකරන්නා මත තහවුරු කිරීම ඇත්තටම අදහස් කරන දේ තීරණය කරන්න: රැහැනේ ලැබුණි, සැකසීම සඳහා පිළිගනු ලැබීය, නැතහොත් ගබඩාවට ටිකාක් ලෙස ලියන ලදී. මේවා වෙනස් සහතික තුනක් වන අතර අවසාන එක පමණක් එකතුකරන්නාගේ නැවත ආරම්භයෙන් ගැලවේ.

පසුව ක්‍රියාකාරී ප්‍රශ්නවලට ලිඛිතව පිළිතුරු දෙන්න. නොයැවූ සිදුවීම් කොහේ රැඳී සිටීද, සහ එම බෆරය විදුලි කැපීමකින් ගැලවෙන්නේද? එය පිරී ගිය විට කුමක් සිදුවේද, සහ කාට දැනුම් දෙනු ලැබේද? නැවත උත්සාහ කිරීම් සීමා කරන්නේ කෙසේද, සහ අනුපිටපත් හඳුනාගන්නේ කෙසේද? යැවීමේ පියවර සත්කාරක නාමය නැවත ලිවිය හැකි බැවින්, කුමන ක්ෂේත්‍රය යවන්නාගේ අනන්‍යතාවය සනාථ කරයිද?

නිර්මාණය එක් ඡේදයකින් පැහැදිලි කළ හැකි තරම් කුඩාව තබන්න: අවශ්‍ය සිදුවීම් රැගෙන යන කුඩාම ආධාරක ප්‍රවාහනය, එය නොදෙන සහතික පිළිබඳ පැහැදිලි ප්‍රකාශයක් සමඟ. පිළිතුරට පියවර දෙකක් අවශ්‍ය නම්, එය runbook හි කියන්න, සහ සෑම පියවරකටම එක් හිමිකරුවෙකු දෙන්න.