Sledujte VPN peerov bez zaznamenávania, kam prehliadajú

Sledovanie VPN peera vyžaduje štyri skutočnosti a žiadna z nich nie je cieľom. Či je tunel hore, kedy naposledy vymenil prevádzku, ktoré kľúče sú zapojené a koľko sa prenieslo, stačí na dostupnosť. Čokoľvek nad to je záznam o človeku a malo by to byť vedomé rozhodnutie, nie vedľajší efekt otvorenia stavovej stránky. Začnite otázkou, na ktorú musíte odpovedať, a potom zvoľte najmenší výstup, ktorý na ňu odpovedá.

Rozhodnite otázku skôr než nástroj

Najprv napíšte prevádzkovú otázku: je tento peer pripojený a prenáša prevádzku? Tá otázka potrebuje živý pohľad a živý pohľad nemá problém s uchovávaním. Druhá otázka, či bol peer pripojený o 02:00 minulý utorok, potrebuje uložený rad, a teda rozhodnutie o uchovávaní. Oddelenie týchto dvoch je celý návrh, pretože živý pohľad je lacný, kým uložený rad sa mení na rozhovor o ochrane údajov.

Kontrolu stavu držte tiež oddelene od stavového výstupu. Nedávny handshake dokazuje, že tunel vyjednal, nie že súkromná aplikácia za ním funguje, preto aplikáciu testujte autorizovanou kontrolou, namiesto toho, aby ste to odvodzovali z počítadiel. Keď kontrola zlyhá a handshake je nedávny, problém je za tunelom.

Čítajte tri polia, ktoré na ňu odpovedajú

Bežný stavový výstup WireGuardu nesie rozhranie, verejný kľúč, koncový bod, posledný handshake a prenosové počítadlá. Prítomnosť potrebuje verejný kľúč a posledný handshake; ak treba, pridajte bajtové počítadlá, aby ste videli pohyb. Koncový bod pre prítomnosť nie je potrebný a je prvým poľom, ktoré treba vypustiť, pretože určuje, odkiaľ sa zariadenie pripája. Stránka manuálu opisuje každé pole, ktoré nástroj vypisuje, a je dosť krátka na jedno prečítanie:

wg show
wg show wg0 latest-handshakes

Čítajte tie čísla ako vek, nie ako booleovské hodnoty. Handshake je aktuálny len voči vlastnému intervalu obnovy kľúčov protokolu a počítadlo, ktoré sa nepohlo, môže znamenať nečinného peera namiesto pokazeného. Držte oboje v tom istom pohľade, aby sa vek a pohyb čítali spolu.

Zvoľte interval, ktorý dokážete obhájiť

Každá vzorka stavu je záznam, takže interval je rozhodnutie o uchovávaní s nálepkou monitoringu. Vzorka každých desať sekúnd dáva jemný detail a násobí uložené riadky, kým vzorka každú minútu zvyčajne stačí na dostupnosť za šestinu nákladov. Interval vyberajte podľa sľúbeného času odozvy, nie podľa toho, čo nástroj dokáže. Potom napíšte číslo vedľa panelu.

Pre OpenVPN stavová funkcia zapisuje súbor v nastavenom intervale. V konfigurácii servera to vyzerá takto status /var/log/openvpn-status.log 60, kde číslo na konci sú sekundy medzi prepismi a súbor sa nahradzuje, nie dopĺňa. Ten detail je dôležitý: nahradený súbor nemá históriu, kým zberač, ktorý doň pridáva, ju vytvára.

Overte, že zberač interval tiež dodržiava. Nástroj, ktorý vzorkuje každú sekundu a ukladá jeden riadok za minútu, napriek tomu číta každú sekundu.

Udržujte štítky stabilné a mapovanie obmedzené

Verejný kľúč identifikuje vzťah zariadení, aj keď k nemu nie je pripojené meno, preto s kľúčom zaobchádzajte ako s osobným údajom, nie ako s nepriehľadným identifikátorom. Označujte peerov stabilnými internými identifikátormi, ktoré prežijú opätovné pripojenia, a mapovanie identifikátora na osobu držte na obmedzenom mieste. Panel, ktorý zapisuje časový rad, je uložený záznam, aj keď VPN nevedie vlastný súbor. Keď je panel jediným úložiskom, pravidlo uchovávania platí práve pre panel.

Prejdite aj cestu exportu, pretože skopírovaný CSV prežije systém, ktorý ho vytvoril. Súhrnná dostupnosť často stačí na správu: podiel peerov s handshakeom v okne odpovedá na prevádzkovú otázku bez vypisovania, kto bol kedy pripojený.

Zdokumentujte, čo zbierate a čo nie

Opíšte zber jednoduchým jazykom: ktoré polia, z ktorého rozhrania, v akom intervale, kde uložené, ako dlho držané a kto ich môže čítať. Dajte to vedľa runbooku, nie do úložiska zásad, ktoré pri incidente nikto neotvorí. Opis by mal tiež povedať, čo monitoring nevidí, pretože práve to bráni niekomu predpokladať, že neprítomnosť údajov o prehliadaní znamená neprítomnosť záznamov.

Kedykoľvek sa monitoring zmení, prejdite okno uchovávania, pretože nové pole ticho predlžuje to, čo sa drží. Potom vymažte to, čo opis hovorí, že mažete, a overte, že vymazanie skutočne prebehlo.