Sida loo diraa diiwaannada qalabka si ammaan ah u guuriyaha fog

Qalabku wuxuu soo saari karaa diiwaanno, ururiyuhu wuxuu fadhiyaa dhinaca kale ee internet-ka, su'aasha ugu horreysa ee qof walba weydiiyo waa tunnel kee la dhiso. Qaabkani wuxuu ka bilaabmaa meel khaldan. Gaadiidka waxaa go'aamiya qaabka qalabku soo saari karo, xaqiijinta ururiyuhu aqbali doono, iyo waxa «la gaarsiiyay» macneheedu noqon doono marka xiriirku go'o. Qor saddexda jawaabood, gaadiidkuna inta badan iskiisuu is doorataa.

Ka bilow waxa qalabku soo saari karo

Ficil ahaan waxaa jira saddex qaab oo keliya. Dhacdooyin syslog gaar ah oo UDP ama TCP ku socda, HTTPS xaqiijin leh oo alaabta lagu dhex dhisay, ama faylal dhamaystiran oo disk-ka lagu qoray oo ay tahay in la raro. Dab-demiska kaliya syslog UDP diri kara ma noqon doono diraya TLS sababtoo ah waxaad ku dartay tunnel; wuxuu wali diri doonaa datagram aan la xaqiijin, hadda gudaha baqshad sir ah.

Marka marka hore liis-garee dirayaha: borotokool, taageerada TLS iyo maktabadee TLS, haddii uu xaqiijin karo shahaadada ururiyaha, haddii uu soo bandhigi karo shahaadada macmiilka, iyo haddii kaydka dirista uu ka badbaado dib-u-bilaabid. Wax kasta oo qalabku aanu samayn karin waa in wax kale oo jidka ku jira sameeyo, waxaasna waxay noqdaan qayb ka mid ah naqshaddaada.

TLS syslog: wadada ugu gaaban marka labada dhinacba ku hadlaan

Haddii qalabku taageero syslog TLS korkiisa oo ururiyuhu dhammeeyo, isticmaal taas oo istaag. Borotokoolka codsigu wuu is-difaacaa, ururiyuhu wuxuu xaqiijiyaa dirayaha, mana jiro tallaabo dheeraad ah oo aad hadda haysato helitaankeeda. Dabinadu waxay tahay in «TLS syslog» ay koobto hirgelinno ballaaran, iyo hanuunka hadda ee syslog ammaan waxay ka gudbeen liisaska sireed ee casharro hore, taasina waa sababta diriyaha shaqeeya uu u xumaado ka dib cusboonaysiinta maktabadda.

rsyslog dhexdiisa, magaca cutubka gaadiidka oo keliya ayaa kuu sheegaya xilligaad ku jirto: lmnsd_gtls wuxuu duubaa GnuTLS, halka lmnsd_ossl uu duubayo OpenSSL oo xirmooyinka 8.x ee hadda jira ay taas bixiyaan. Ficil diris oo leh xaqiijinta shahaadada waxay u ekaanaysaa sidan, magacyada saxda ah ee cabbirradana waa in lagu hubiyaa nooca la rakibay:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Xaqiiji barta ugu dambeysa ka hor intaadan dirayaha sixin. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error wuxuu ama dhammeeyaa gacan-qabsiga silsilad ansax ah ama wuxuu si sax ah kuu sheegaa baaritaankee guuldareystay. Ka tijaabi qalabka, ma aha laptop-kaaga, sababtoo ah kaydka kalsoonida qalabka ayaa muhiim ah.

SFTP: wanaagsan faylalka, khaldan qulqulka

Gaarsiinta ku salaysan faylalka waxay ku habboon tahay qalabka qora diiwaanno wareegaya oo aan wax kale qorin. Wareejinta SSH waxay ku siinaysaa furayaasha martigeliyaha, furayaasha akoon kasta iyo nidaam faylal oo aad baari karto, taas oo sheeko kalsooni macquul ah u tahay qalab aan TLS karin gabi ahaanba. Waa doorasho xun qulqulka dhacdooyinka, halkaas oo «faylka saac kasta la qoraa» macneheedu yahay in hakadku ku lumiyo dabo saacadda hadda.

Daawo xaqiijinta martigeliyaha oo shidan. Wicitaan dufcad ah oo damiya si looga fogaado codsi wuxuu baabi'iyaa xaqiijinta kaliya ee gaadiidku leeyahay:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Inta lagu jiro diyaarinta ku dheji fure martigeliye known_hosts akoonka, ku xaddid akoonka gal-maape galka bartilmaameedka, oo dooro nidaamka hoose internal-sftp oo leh chroot. Qorsheeso sidoo kale sheekada dib-u-dirista: haddii fayl dib loo diro ka dib guuldarro qayb ah, ururiyuhu waa inuu kala garto nuqulka faylka cusub, inta badan magaca iyo checksum, ma aha waqtiga imaatinka.

Marka iridda maxalliga ah ama tunnel-ku yahay jawaabta daacadda ah

Qalabka qaarkood waxay ku hadli karaan oo keliya qaab aan qofna rabin inuu shaaciyo. Xaaladdaas ururiye loo fasaxay oo ku yaal shabakadda qalabka laftiisa ayaa hela qaabka asalka ah oo u gudbiya TLS. Taasi waa naqshad sharci ah, laakiin noqo mid sax ah waxa ay iibsato: sirta ka bilaabmata iridda ma ilaalinayso qaybta u dhexeeya qalabka iyo iridda gadaal, marka tallaabadaas wali waxay u baahan tahay xadkeeda kalsooni iyo xakamaynta gelitaanka.

Tunnel goob ama qalab la maro waa doorashada ugu culus iyo tan saxda ah marka ururiyuhu waa inuu hayo ciwaan gaar ah iyo adeegyo badan qaado, ma aha oo keliya diiwaanno. Waxay keentaa qorsheynta ciwaannada, xeerarka gelitaanka, wadooyinka soo-noqodka iyo meertada nolosha barta dambeysa ee tunnel-ka. Sidoo kale ma hagaajiso borotokoolka gudaha: syslog UDP gudaha tunnel IPsec wali waa adeeg datagram oo aan lahayn xaqiijin gaarsiin.

Wax kasta oo aad dooratid, hay ciwaanka ururiyaha ka cidhiidhi ah gaadiidka. Aqoonsiga tunnel-ku wuxuu leeyahay barta dambeysa, mana sheego wax ku saabsan qalabka hoose ee soo saaray goob magac martigeliye gaar ah fariin dhexdeeda.

Qor heshiiska gaarsiinta ka hor intaadan dirin

Sirta, xaqiijinta iyo haynta waxay ka jawaabaan su'aalo kala duwan, safna ma aha siyaasad hayn. Ka hor inta ugu horreysa diiwaanku ka baxo qalabka, go'aanso waxa xaqiijin dhab ahaan ka dhigan tahay ururiyahan: laga helay xarigga, loo aqbalay farsamaynta, ama si waar ah loogu qoray kaydka. Kuwani waa saddex dammaanad oo kala duwan oo kaliya tan dambeysa ayaa ka badbaada dib-u-bilaabidda ururiyaha.

Kadib si qoraal ah uga jawaab su'aalaha hawlgalka. Xaggee ayay dhacdooyinka aan la dirin sugayaan, mase kaydkaas ka badbaadayaa goosashada korontada? Maxaa dhacaa marka uu buuxo, yaana la wargelinayaa? Sidee dib-u-tijaabooyinka loo xaddidayaa, sideena nuqullada loo aqoonsadaa? Goobtee ayaa caddaynaysa aqoonsiga dirayaha, marka la tixgeliyo in tallaabada diristu ay dib u qori karto magaca martigeliyaha?

Hay naqshadda yar oo ku filan in lagu sharraxo hal cutub: gaadiidka ugu yar ee la taageeray ee qaada dhacdooyinka loo baahan yahay, oo ay la socoto bayaan cad oo ku saabsan dammaanadaha aanu bixinayn. Haddii jawaabtu u baahan tahay laba tallaabo, ku sheeg runbook-ka oo sii tallaabo kasta milkiile.