Mbikëqyrni partnerët VPN pa regjistruar ku shfletojnë

Mbikëqyrja e një partneri VPN kërkon katër fakte, dhe asnjë prej tyre nuk është destinacion. Nëse tuneli është aktiv, kur shkëmbeu trafik për herë të fundit, cilat çelësa përfshihen dhe sa u zhvendos mjaftojnë për disponueshmërinë. Çdo gjë përtej kësaj është një regjistrim për një person, dhe duhet të jetë një vendim i qëllimshëm e jo një efekt anësor i hapjes së një faqeje statusi. Filloni nga pyetja së cilës duhet t'i përgjigjeni, pastaj zgjidhni daljen më të vogël që i përgjigjet.

Vendosni pyetjen përpara mjetit

Shkruani së pari pyetjen operacionale: a është i lidhur ky partner dhe a lëviz trafik? Kjo pyetje kërkon një pamje të drejtpërdrejtë, dhe një pamje e drejtpërdrejtë nuk ka problem ruajtjeje. Një pyetje e dytë, nëse partneri ishte i lidhur në 02:00 të martën e kaluar, kërkon një seri të ruajtur dhe për rrjedhojë një vendim ruajtjeje. Ndarja e këtyre dyjave është i gjithë dizajni, sepse pamja e drejtpërdrejtë është e lirë, ndërsa seria e ruajtur kthehet në një bisedë për mbrojtjen e të dhënave.

Mbani kontrollin e shëndetit edhe veçmas nga dalja e statusit. Një handshake i kohëve të fundit provon që tuneli ka negociuar, jo që aplikacioni privat pas tij funksionon, prandaj testoni aplikacionin përmes një kontrolli të autorizuar në vend që ta nxirrni nga numëruesit. Kur kontrolli dështon dhe handshake është i kohëve të fundit, problemi ndodhet përtej tunelit.

Lexoni tre fushat që i përgjigjen

Dalja e thjeshtë e statusit të WireGuard përmban ndërfaqen, çelësin publik, pikën fundore, handshake-in e fundit dhe numëruesit e transferimit. Prania kërkon çelësin publik dhe handshake-in e fundit; nëse duhet, shtoni numëruesit e bajtëve për të parë lëvizjen. Pika fundore nuk nevojitet për praninë dhe është fusha e parë që duhet hequr, sepse identifikon nga vjen një pajisje. Faqja e manualit përshkruan çdo fushë që shtyp mjeti, dhe është mjaft e shkurtër për t'u lexuar një herë:

wg show
wg show wg0 latest-handshakes

Lexoni ato numra si moshë, jo si boolean. Një handshake është aktual vetëm në raport me intervalin e vetë protokollit për rinovimin e çelësave, dhe një numërues që nuk është lëvizur mund të nënkuptojë një partner joaktiv në vend të një të prishur. Mbani të dy në të njëjtën pamje që mosha dhe lëvizja të lexohen bashkë.

Zgjidhni një interval që mund ta mbroni

Çdo kampion statusi është një regjistrim, prandaj intervali është një vendim ruajtjeje që mban etiketën e mbikëqyrjes. Një kampion çdo dhjetë sekonda jep detaje të imta dhe shumëfishon rreshtat e ruajtur, ndërsa një kampion çdo minutë zakonisht mjafton për disponueshmërinë me një të gjashtën e kostos. Zgjidhni intervalin nga koha e përgjigjes që keni premtuar, jo nga ajo që mjeti mund të bëjë. Pastaj shkruani numrin pranë panelit.

Për OpenVPN, funksioni i statusit shkruan një skedar në një interval të konfiguruar. Në konfigurimin e serverit kjo duket kështu status /var/log/openvpn-status.log 60, ku numri në fund janë sekondat midis riskrimeve, dhe skedari zëvendësohet e nuk shtohet. Ai detaj ka rëndësi: një skedar i zëvendësuar nuk ka historik, ndërsa një mbledhës që shton krijon një të tillë.

Konfirmoni që edhe mbledhësi respekton intervalin. Një mjet që kampionon çdo sekondë dhe ruan një rresht në minutë lexon gjithsesi çdo sekondë.

Mbani etiketat të qëndrueshme dhe hartëzimin të kufizuar

Një çelës publik identifikon një marrëdhënie pajisjesh edhe pa një emër të bashkangjitur, prandaj trajtojeni çelësin si të dhënë personale e jo si identifikues opak. Etiketoni partnerët me identifikues të brendshëm të qëndrueshëm që i mbijetojnë rilidhjeve, dhe mbani hartëzimin nga identifikuesi te personi në një vend të kufizuar. Një panel që shkruan një seri kohore është një regjistrim i ruajtur edhe kur VPN-ja nuk mban skedar të vetin. Kur paneli është depoja e vetme, paneli është vendi ku zbatohet rregulli i ruajtjes.

Rishikoni edhe rrugën e eksportit, sepse një CSV i kopjuar jeton më gjatë se sistemi që e prodhoi. Disponueshmëria e përgjithshme shpesh mjafton për një raport: përqindja e partnerëve me handshake brenda dritares i përgjigjet pyetjes operacionale pa listuar kush ishte i lidhur dhe kur.

Dokumentoni çfarë mblidhni dhe çfarë nuk mblidhni

Shkruani përshkrimin e mbledhjes në gjuhë të thjeshtë: cilat fusha, nga cila ndërfaqe, në çfarë intervali, të ruajtura ku, të mbajtura sa kohë dhe kush mund t'i lexojë. Vendoseni pranë runbook-ut dhe jo në një depo politikash që askush nuk e hap gjatë një incidenti. Përshkrimi duhet të thotë edhe çfarë mbikëqyrja nuk mund të shohë, sepse kjo është ajo që pengon dikë të supozojë se mungesa e të dhënave të shfletimit do të thotë mungesë regjistrimesh.

Rishikoni dritaren e ruajtjes sa herë që mbikëqyrja ndryshon, sepse një fushë e re zgjat në heshtje atë që mbahet. Pastaj fshini atë që përshkrimi thotë se fshini, dhe verifikoni që fshirja ka ndodhur vërtet.