Si t'i dërgoni regjistrat e pajisjes te një mbledhës në distancë në mënyrë të sigurt

Pajisja mund të nxjerrë regjistra, mbledhësi ndodhet në anën tjetër të internetit, dhe pyetja e parë që bëjnë të gjithë është cili tunel duhet ndërtuar. Ky kornizë fillon në vendin e gabuar. Transportin e përcaktojnë formati që pajisja mund të prodhojë, vërtetimi që mbledhësi do të pranojë, dhe çfarë duhet të thotë «dorëzuar» kur lidhja bie. Shkruani ato tre përgjigje, dhe transporti zakonisht zgjedh vetveten.

Filloni nga ajo që pajisja mund të nxjerrë

Në praktikë ekzistojnë vetëm tre forma. Ngjarje syslog individuale mbi UDP ose TCP, një ngarkim HTTPS i vërtetuar i ndërtuar në produkt, ose skedarë të plotë të shkruar në disk që duhet të lëvizin. Një firewall që mund të dërgojë vetëm syslog UDP nuk bëhet dërgues TLS sepse keni shtuar një tunel; ai do të vazhdojë të dërgojë datagrame të pagarantuara, tani brenda një zarfi të kriptuar.

Prandaj fillimisht inventarizoni dërguesin: protokolli, mbështetja e TLS dhe cila bibliotekë TLS, nëse mund të vërtetojë certifikatën e mbledhësit, nëse mund të paraqesë një certifikatë klienti, dhe nëse buferi i dërgimit i mbijeton një rindezjeje. Çdo gjë që pajisja nuk mund ta bëjë duhet ta bëjë diçka tjetër në rrugë, dhe ajo diçka tjetër bëhet pjesë e projektimit tuaj.

TLS syslog: rruga më e shkurtër kur të dy skajet e flasin

Nëse pajisja mbështet syslog mbi TLS dhe mbledhësi e përfundon atë, përdorni atë dhe ndaloni. Protokolli i aplikacionit mbron vetveten, mbledhësi vërteton dërguesin, dhe nuk ka asnjë kërcim shtesë, disponueshmërinë e të cilit e zotëroni tani. Kurthi është se «TLS syslog» mbulon një gamë të gjerë implementimesh, dhe udhëzimet aktuale për syslog të sigurt kanë shkuar përtej listave të šifrave në tutorialet e vjetra, dhe për këtë arsye një përcjellës që funksionon prishet pas një përditësimi të bibliotekës.

Në rsyslog, vetë emri i modulit të transportit ju tregon në cilën epokë jeni: lmnsd_gtls mbështjell GnuTLS, ndërsa lmnsd_ossl mbështjell OpenSSL dhe këtë ofrojnë paketat aktuale 8.x. Një veprim përcjelljeje me vërtetim certifikate duket afërsisht kështu, dhe emrat e saktë të parametrave ia vlen të kontrollohen kundrejt versionit të instaluar:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Verifikoni pikën fundore përpara se të korrigjoni dërguesin. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error ose përfundon një shtrëngim duarsh me një zinxhir të vlefshëm ose ju thotë saktësisht cili kontroll dështoi. Testoni nga pajisja, jo nga laptopi juaj, sepse depoja e besimit e pajisjes është ajo që ka rëndësi.

SFTP: i mirë për skedarë, i gabuar për rrjedhat

Dorëzimi i bazuar në skedarë u përshtatet pajisjeve që shkruajnë regjistra rrotullues dhe asgjë tjetër. Transferimi me SSH ju jep çelësa pritësi, çelësa për çdo llogari dhe një sistem skedarësh që mund ta auditoni, që është një histori e arsyeshme besimi për një pajisje që nuk mund të bëjë fare TLS. Është një zgjedhje e dobët për rrjedhat e ngjarjeve, ku «skedari shkruhet çdo orë» do të thotë se një ndërprerje ju kushton bishtin e orës aktuale.

Mbani vërtetimin e pritësit të ndezur. Një thirrje grumbulli që e fik për të shmangur një kërkesë shkatërron vërtetimin e vetëm që ka transporti:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Fiksoni çelësin e pritësit në known_hosts e llogarisë gjatë provizionimit, kufizojeni llogarinë në drejtorinë e synuar, dhe parapëlqeni nënsistemin internal-sftp me chroot. Planifikoni edhe historinë e ridërgimit: nëse një skedar ridërgohet pas një dështimi të pjesshëm, mbledhësi duhet të dallojë një dublikatë nga një skedar i ri, zakonisht sipas emrit plus shumës kontrolli dhe jo sipas kohës së mbërritjes.

Kur një portë lokale ose një tunel është përgjigjja e sinqertë

Disa pajisje mund të flasin vetëm një format që askush nuk dëshiron ta ekspozojë. Në atë rast një mbledhës i autorizuar në rrjetin e vetë pajisjes merr formatin amë dhe e përcjell më tej mbi TLS. Ky është një projektim i ligjshëm, por jini të saktë për atë që blen: kriptimi që fillon në portë nuk e mbron në mënyrë retrospektive segmentin midis pajisjes dhe portës, ndaj ai kërcim ka ende nevojë për kufirin e vet të besimit dhe kontrollin e aksesit.

Një tunel i rrugëtuar i sajtit ose pajisjes është opsioni më i rëndë dhe ai i saktë kur mbledhësi duhet të ruajë një adresë private dhe duhet të mbajë disa shërbime, jo vetëm regjistra. Sjell planifikim adresash, rregulla aksesi, rrugë kthimi dhe ciklin e jetës së pikës fundore të tunelit. Gjithashtu nuk e përmirëson protokollin e brendshëm: syslog UDP brenda një tuneli IPsec mbetet një shërbim datagrame pa konfirmim dorëzimi.

Çfarëdo që të zgjidhni, mbani autorizimin e mbledhësit më të ngushtë se transporti. Identiteti i tunelit i përket një pike fundore dhe nuk thotë asgjë për atë se cila pajisje më poshtë prodhoi një fushë të caktuar emri pritësi në një mesazh.

Shkruani kontratën e dorëzimit përpara se të dërgoni

Kriptimi, vërtetimi dhe mbajtja u përgjigjen pyetjeve të ndryshme, dhe një radhë nuk është politikë mbajtjeje. Përpara se regjistri i parë të largohet nga pajisja, vendosni çfarë do të thotë vërtet një konfirmim në këtë mbledhës: marrë në tel, pranuar për përpunim, ose shkruar në mënyrë të qëndrueshme në ruajtje. Këto janë tre garanci të ndryshme dhe vetëm e fundit i mbijeton një rindezjeje të mbledhësit.

Pastaj përgjigjuni me shkrim pyetjeve operative. Ku presin ngjarjet e padërguara, dhe a i mbijeton ai bufer një ndërprerjeje rryme? Çfarë ndodh kur mbushet, dhe kush njoftohet? Si kufizohen përpjekjet e përsëritura, dhe si identifikohen dublikatat? Cila fushë dëshmon identitetin e dërguesit, duke pasur parasysh se një kërcim përcjelljeje mund të rishkruajë emrin e pritësit?

Mbani projektimin mjaft të vogël për t'u shpjeguar në një paragraf: transporti më i vogël i mbështetur që mban ngjarjet e nevojshme, plus një deklaratë të qartë për garancitë që nuk ofron. Nëse përgjigjja kërkon dy kërcime, thojeni në runbook dhe jepini secilit kërcim një pronar.