Kujt i përkasin regjistrat e OpenVPN: demonit, rsyslog apo logrotate?

Rrotullimi i regjistrave prishet në një mënyrë të parashikueshme: tre komponentë secili mendon se zotëron skedarin, dhe rezultati është një regjistër i rrotulluar që vazhdon të rritet ndërsa ai i ri mbetet bosh. Demoni mban një përshkrues, logrotate riemërton rrugën dhe rsyslog shkruan diku krejt tjetër. Zgjidhni një shkrues dhe një rrotullues përpara se të shtoni një rregull tjetër në pirg. Lista e kontrollit më poshtë ecën në atë rend, sepse çdo hap i mëpasshëm varet prej saj.

Vendosni kush e shkruan skedarin

Dy modele janë të ligjshme. Në të parin, procesi VPN shkruan vetë një skedar përmes opsionit të vet log ose log-append. Në të dytin, i dërgon regjistrimet regjistruesit të sistemit dhe rsyslog ose journald vendos ku do të përfundojnë.

Janë alternativa, jo shtresa. Një host që aktivizon të dyja përfundon me dy skedarë që nuk përputhen, dhe ai që po lexoni është shpesh ai i vjetëruari. Zgjidhni rrugën me qëllim dhe pastaj hiqni shkruesin tjetër.

Lexoni konfigurimin efektiv të shërbimit përpara se të ndryshoni gjithçka, duke përfshirë skedarët drop-in që mund të anashkalojnë skedarin unit. Një direktivë e pranishme në profilin që redaktuat nuk është provë se është ajo që ngarkoi procesi në punë. Krahasoni unit me argumentet e procesit dhe pastaj me skedarët që hapi në të vërtetë.

Emërtoni demonin që filtri të jetë i ngushtë

Në rrugën syslog, jepini demonit një identitet të veçantë dhe filtroni mbi të. Një rregull që përputhet me emrin e programit të këtij shembulli VPN i mban regjistrimet e tij jashtë një skedari të përbashkët, politika e mbajtjes e të cilit i përket diçkaje tjetër.

Rregullat e ngushta e bëjnë të përgjigjshme edhe pyetjen tjetër: cili shërbim e prodhoi këtë rresht? Një filtër që përputhet me gjithçka që përmban fjalën VPN do të mbledhë me gëzim trafikun e një tuneli të dytë dhe do t'i turbullojë të dyja. Përputhuni me identifikuesin e saktë që unit i kalon regjistruesit.

Mbyllni rregullin pas veprimit, që regjistrimet të mos bien edhe në destinacionin e paracaktuar. Rreshtat e dyfishtë në dy skedarë duken si defekt regjistrimi dhe në të vërtetë janë një ndalim që mungon. Po ai lëshim i vetëm dyfishon edhe koston e diskut të politikës së mbajtjes.

Rrotulloni pa humbur përshkruesin

Kur demoni shkruan skedarin, logrotate riemërton rrugën, por procesi mban përshkruesin e vet të hapur. Regjistrimet e reja vazhdojnë në skedarin e riemërtuar derisa diçka e detyron procesin ta rihapë rrugën origjinale; prandaj një rrotullim mund të duket se funksionon ndërsa skedari i ri mbetet bosh.

Zgjidhja është një veprim postrotate që shkakton sjelljen e dokumentuar të ringarkimit ose rinisjes së shërbimit. Dërgimi i një sinjali regjistruesit është një veprim krejt tjetër dhe nuk bën asgjë për një demon që mban skedarin e vet.

Aty ku rihapja është e pamundur, copytruncate është alternativa: kopjoni skedarin dhe pastaj shkurtojeni në vend. E mban përshkruesin të vlefshëm me koston e humbjes së gjithçkaje që shkruhet midis kopjes dhe shkurtimit, pra është shkëmbim dhe jo zgjidhje. Nën ngarkesë ai boshllëk mund të gëlltisë pikërisht dështimin që po përpiqeni të kapni.

Zgjidhni një nga të dyja për çdo skedar dhe shkruajeni zgjedhjen, sepse përzierja e tyre në të njëjtën rrugë prodhon boshllëqe shumë të vështira për t'u atribuar më vonë. Një lexues që gjen të dy modelet në një drejtori nuk mund të thotë cili është autoritativ.

Vendosni mbajtjen nga dritarja e incidentit

Mbajtja, kompresimi dhe madhësia maksimale duhet të dalin nga sa larg hetoni në të vërtetë. Një dritare prej shtatë ditësh me kompresim dhe një kufi madhësie është pikënisje e arsyeshme për shumë vendosje; një numër i kopjuar nga një udhëzues nuk është.

Mbajeni politikën në një vend. Nëse logrotate e rrotullon skedarin dhe rsyslog gjithashtu e rrotullon, fiton rrotullimi i dytë dhe skema e emërtimit të të parit mbijeton si rrëmujë. Zgjidhni pronarin, çaktivizoni rrotullimin tjetër dhe shënoni atë vendim pranë politikës.

Dokumentacioni i rsyslog mbulon modelin e rrugëzimit dhe të veprimeve, ndërsa dokumentacioni i shërbimit OpenVPN mbetet autoritativ për opsionet e regjistrimit të vetë demonit. Asnjëra nuk e vendos politikën tuaj të mbajtjes në vendin tuaj.

Provoni një rrotullim dhe një ngjarje të re

Detyroni një rrotullim të vetëm dhe pastaj gjeneroni një ngjarje të re, si një vërtetim i dështuar. Konfirmoni që regjistrimi i ri shfaqet në skedarin e ri dhe që skedari i vjetër ndaloi së rrituri.

Shikoni edhe lejet e skedarit të ri, sepse një rrotullim që e rikrijon me një pronar tjetër e thyen shkruesin në shkrimin tjetër dhe prodhon një boshllëk që duket si rrëzim. Krahasoni pronarin dhe modalitetin me llogarinë e shërbimit përpara se të niseni. Pastaj konfirmoni që arkivi i kompresuar lexohet, pasi një arkiv që askush nuk mund ta hapë nuk është mbajtje. Një lexim i shpejtë i regjistrimit më të ri në skedarin e vjetër provon si kompresimin ashtu edhe lejet.

Përfundoni duke shënuar pronarin e çdo hapi: cili komponent shkruan, cili rrotullon dhe ku jeton politika e mbajtjes. Ai shënim e kthen incidentin e ardhshëm të regjistrimit në një kontroll pesëminutësh në vend të një pasditeje duke hamendësuar cila shtresë e humbi rreshtin.