Stavový súbor počíta relácie, nie LAN za nimi

Niekto sa pýta, koľko strojov je vo VPN, a stavový súbor sa predkladá ako dôkaz. Odpovedá na užšiu otázku: koľko relácií existuje v tejto snímke a ktoré virtuálne adresy server smeruje. Práve v medzere medzi týmito dvoma otázkami žije väčšina chýb vo výkazoch, a jej uzavretie sa začína čítaním vlastných hlavičiek súboru.

Čo snímka skutočne obsahuje

Súbor sa zapisuje v intervale, keď je pre túto inštanciu servera nakonfigurovaný výstup stavu, takže je to periodický obraz, nie živý prúd. Jeho sekcie uvádzajú relácie a vnútorný stav smerovania oddelene, a verzia formátu určuje rozloženie stĺpcov.

status /run/openvpn/office.status 30
status-version 3

Verzia 3 zapisuje polia oddelené tabulátormi s riadkom hlavičky, kým staršie formáty sa líšia a neskoršie verzie môžu pridávať polia. Čítajte hlavičku namiesto pevného zadania čísla stĺpca, pretože skript, ktorý predpokladá pozície, sa pri ďalšej aktualizácii ticho pokazí.

Počítajte relácie, nie ľudí ani stroje

Jedno spojenie lokality môže prenášať prevádzku niekoľkých povolených strojov za sebou. Jeden človek môže tiež držať viac ako jednu reláciu súčasne, z notebooku a telefónu. Ani jeden z týchto vzorcov nie je v počte viditeľný, preto majú pripojení používatelia zmysel až po definovaní jednotky. Predtým, než niekto začne počítať, opýtajte sa, akú jednotku výkaz potrebuje.

Ak číslo záleží na licencovaní alebo kapacite, definujte jednotku v tom istom dokumente ako výkaz. Výkaz, ktorý neuvádza, či počíta relácie, identity alebo zariadenia, bude čítaný ako jednotka, ktorú čitateľ očakával.

Vonkajšia adresa nie je identifikátor

Pole skutočnej adresy je adresa a port partnera tak, ako ich vidí server. Niekoľko klientov za jednou preloženou verejnou adresou túto adresu zdieľa, takže zoskupenie podľa nej spája nesúvisiace relácie. Port sa medzi spojeniami tiež mení, čo robí dvojicu nepoužiteľnou ako stabilný kľúč. Výkaz zoskupený takto vyzerá presne a je chybný.

Na zoskupovanie používajte efektívnu identitu klienta a adresu berte ako detail prenosu. Keď dva riadky zdieľajú identitu, zvyčajne to znamená súbežné relácie, nie duplicitný záznam.

Riadky smerovania nie sú inventár hostiteľov

Záznam smerovania môže pomenovať podsieť, za ktorú zodpovedá jeden partner, a podsieť nie je zoznam jej hostiteľov. Server vie, že ten rozsah má posielať konkrétnej relácii, a netuší, ktoré z tých strojov sú zapnuté, overené v aplikácii alebo niekomu užitočné. Smerovacia tabuľka opisuje dosiahnuteľnosť, nie obsadenosť. Práve tento rozdiel je celý dôvod, prečo VPN nemôže odpovedať na otázku inventára.

Niekoľko riadkov môže ukazovať aj na toho istého partnera, pretože lokalita môže inzerovať viac ako jeden rozsah. Počítať riadky a nazývať výsledok počtom zariadení nadhodnocuje nasadenie o ľubovoľný faktor.

Ak je požiadavka skutočne inventárom aktív, použite inventarizačný proces, ktorý tú sieť vlastní. VPN dokáže určiť, ktorý partner nesie trasu, a to je iný fakt než to, ktorí hostitelia za ňou existujú.

Vek, oprávnenia a živý pohľad

Pri každej odpovedi uchovávajte čas zmeny súboru. Server, ktorý sa zastavil pred hodinami, necháva svoju poslednú snímku na mieste, a zastaraný súbor vydávaný za aktuálny je horší než žiadny výkaz.

Adresár musí existovať a byť zapisovateľný pre účet, pod ktorým služba skutočne beží, na čo sa po kole spevňovania ľahko zabúda. Súbor zvyčajne obsahuje mená a adresy, preto ho držte na administratívnom mieste, a nie kdekoľvek, odkiaľ ho webový server môže podávať. Oprávnenia kontrolujte z účtu služby, nie zo svojho shellu. Snímka, ktorá ticho prestane aktualizovať, vyzerá presne ako tichá sieť.

Pre potreby riadené udalosťami používajte podporované rozhranie na správu namiesto rýchlejšieho dopytovania. Berte toto rozhranie ako riadenie, nie ako metriky, a nikdy ho nevystavujte na internet len preto, aby ste počítali relácie.