Spremljajte partnerje VPN, ne da bi beležili, kam brskajo

Spremljanje partnerja VPN potrebuje štiri dejstva in nobeno od njih ni cilj. Ali je tunel vzpostavljen, kdaj je nazadnje izmenjal promet, kateri ključi so vključeni in koliko se je preneslo, zadošča za razpoložljivost. Vse nad tem je zapis o osebi in bi moralo biti zavestna odločitev, ne stranski učinek odpiranja strani s stanjem. Začnite z vprašanjem, na katero morate odgovoriti, nato izberite najmanjši izhod, ki nanj odgovori.

Odločite vprašanje pred orodjem

Najprej zapišite operativno vprašanje: je ta partner povezan in ali prenaša promet? To vprašanje potrebuje pogled v živo, pogled v živo pa nima težave s hrambo. Drugo vprašanje, ali je bil partner povezan ob 02:00 prejšnji torek, potrebuje shranjeno serijo in zato odločitev o hrambi. Ločevanje teh dveh je celotna zasnova, ker je pogled v živo poceni, medtem ko se shranjena serija spremeni v pogovor o varstvu podatkov.

Tudi preverjanje stanja imejte ločeno od izhoda stanja. Nedavno rokovanje dokazuje, da se je tunel dogovoril, ne pa da zasebna aplikacija za njim deluje, zato aplikacijo preizkusite z dovoljenim preverjanjem, namesto da bi to sklepali iz števcev. Ko preverjanje ne uspe in je rokovanje nedavno, je težava za tunelom.

Berite tri polja, ki nanj odgovorijo

Običajen izhod stanja WireGuarda vsebuje vmesnik, javni ključ, končno točko, zadnje rokovanje in števce prenosa. Za prisotnost sta potrebna javni ključ in zadnje rokovanje; če je treba, dodajte bajtne števce, da vidite gibanje. Končna točka za prisotnost ni potrebna in je prvo polje, ki ga je treba spustiti, ker določa, od kod se naprava povezuje. Stran priročnika opisuje vsako polje, ki ga orodje izpiše, in je dovolj kratka za eno branje:

wg show
wg show wg0 latest-handshakes

Te številke berite kot starost, ne kot logične vrednosti. Rokovanje je aktualno le glede na lastni interval obnavljanja ključev protokola, števec, ki se ni premaknil, pa lahko pomeni nedejavnega partnerja namesto pokvarjenega. Oboje imejte v istem pogledu, da se starost in gibanje bereta skupaj.

Izberite interval, ki ga lahko zagovarjate

Vsak vzorec stanja je zapis, zato je interval odločitev o hrambi z oznako spremljanja. Vzorec vsakih deset sekund daje podroben vpogled in pomnoži shranjene vrstice, medtem ko vzorec vsako minuto običajno zadošča za razpoložljivost za šestino stroškov. Interval izberite glede na obljubljeni odzivni čas, ne glede na to, kaj zmore orodje. Nato zapišite število poleg nadzorne plošče.

Za OpenVPN statusna funkcija zapiše datoteko v nastavljenem intervalu. V konfiguraciji strežnika je videti tako status /var/log/openvpn-status.log 60, kjer je število na koncu sekunde med prepisi, datoteka pa se zamenja, ne dopolni. Ta podrobnost je pomembna: zamenjana datoteka nima zgodovine, medtem ko jo zbiralnik, ki dodaja, ustvari.

Preverite, da tudi zbiralnik spoštuje interval. Orodje, ki vzorči vsako sekundo in shrani eno vrstico na minuto, še vedno bere vsako sekundo.

Ohranjajte oznake stabilne in preslikavo omejeno

Javni ključ identificira odnos naprav, tudi ko ni priloženega imena, zato ključ obravnavajte kot osebni podatek, ne kot neprozoren identifikator. Partnerje označujte s stabilnimi notranjimi identifikatorji, ki preživijo ponovne povezave, preslikavo identifikatorja na osebo pa hranite na omejenem mestu. Nadzorna plošča, ki piše časovno vrsto, je shranjen zapis, tudi ko VPN ne vodi lastne datoteke. Ko je nadzorna plošča edino skladišče, velja pravilo hrambe tam.

Preglejte tudi izvozno pot, ker kopirani CSV preživi sistem, ki ga je ustvaril. Skupna razpoložljivost pogosto zadošča za poročilo: delež partnerjev z rokovanjem znotraj okna odgovori na operativno vprašanje, ne da bi našteval, kdo je bil kdaj povezan.

Dokumentirajte, kaj zbirate in česa ne

Opišite zbiranje v preprostem jeziku: katera polja, s katerega vmesnika, v katerem intervalu, kje shranjena, kako dolgo zadržana in kdo jih lahko bere. Postavite jo poleg runbooka, ne v skladišče pravilnikov, ki ga med incidentom nihče ne odpre. Opis naj pove tudi, česa spremljanje ne more videti, ker prav to preprečuje, da bi kdo domneval, da odsotnost podatkov o brskanju pomeni odsotnost zapisov.

Okno hrambe pregledajte vsakič, ko se spremljanje spremeni, ker novo polje tiho podaljša tisto, kar se hrani. Nato izbrišite, kar opis pravi, da brišete, in preverite, da je do izbrisa res prišlo.