சாதனப் பதிவுகளை தொலைச் சேகரிப்பாளருக்கு பாதுகாப்பாக அனுப்புவது எப்படி

சாதனம் பதிவுகளை வெளியிட முடியும், சேகரிப்பாளர் இணையத்தின் மறுபக்கத்தில் அமர்ந்துள்ளார், எல்லோரும் கேட்கும் முதல் கேள்வி எந்தச் சுரங்கப்பாதையை உருவாக்குவது என்பதுதான்। இந்த அமைப்பு தவறான இடத்திலிருந்து தொடங்குகிறது। போக்குவரத்தைத் தீர்மானிப்பது சாதனம் உருவாக்கக்கூடிய வடிவம், சேகரிப்பாளர் ஏற்கும் அங்கீகாரம், இணைப்பு துண்டிக்கப்படும்போது “வழங்கப்பட்டது” என்பதன் பொருள்। அந்த மூன்று பதில்களையும் எழுதுங்கள், போக்குவரத்து பொதுவாக தானாகவே தேர்ந்தெடுக்கப்படும்।

சாதனம் வெளியிடக்கூடியதிலிருந்து தொடங்குங்கள்

நடைமுறையில் மூன்று வடிவங்கள் மட்டுமே உள்ளன। UDP அல்லது TCP வழியாக தனிப்பட்ட syslog நிகழ்வுகள், தயாரிப்பில் கட்டப்பட்ட அங்கீகரிக்கப்பட்ட HTTPS பதிவேற்றம், அல்லது வட்டுக்கு எழுதப்பட்டு நகர்த்தப்பட வேண்டிய முழு கோப்புகள்। UDP syslog மட்டுமே அனுப்பக்கூடிய ஃபயர்வால் சுரங்கப்பாதை சேர்த்ததால் TLS அனுப்புநராக மாறாது; அது இன்னும் உறுதிப்படுத்தப்படாத டேட்டாகிராம்களை அனுப்பும், இப்போது மறையாக்கப்பட்ட உறையில்।

எனவே முதலில் அனுப்புநரைப் பட்டியலிடுங்கள்: நெறிமுறை, TLS ஆதரவு மற்றும் எந்த TLS நூலகம், சேகரிப்பாளரின் சான்றிதழைச் சரிபார்க்க முடியுமா, வாடிக்கையாளர் சான்றிதழை வழங்க முடியுமா, அனுப்பும் இடையகம் மறுதொடக்கத்தைத் தாண்டுமா। சாதனம் செய்ய முடியாத எல்லாவற்றையும் பாதையில் வேறு ஏதாவது செய்ய வேண்டும், அந்த வேறு ஏதோ உங்கள் வடிவமைப்பின் பகுதியாகிறது।

TLS syslog: இரு முனைகளும் பேசும்போது மிகக் குறுகிய பாதை

சாதனம் TLS வழியாக syslog ஐ ஆதரித்து, சேகரிப்பாளர் அதை முடித்தால், அதைப் பயன்படுத்தி நிறுத்துங்கள்। பயன்பாட்டு நெறிமுறை தன்னைத் தானே பாதுகாக்கிறது, சேகரிப்பாளர் அனுப்புநரை அங்கீகரிக்கிறார், இப்போது உங்களுக்குச் சொந்தமான கூடுதல் படி எதுவும் இல்லை। பொறி என்னவென்றால் “TLS syslog” பரந்த செயலாக்கங்களை உள்ளடக்குகிறது, மேலும் பாதுகாப்பான syslog க்கான தற்போதைய வழிகாட்டுதல் பழைய பயிற்சிகளின் மறையாக்கப் பட்டியல்களுக்கு அப்பால் சென்றுவிட்டது, அதனால்தான் வேலை செய்யும் ஃபார்வர்டர் நூலக மேம்பாட்டிற்குப் பிறகு உடைகிறது।

rsyslog இல் போக்குவரத்து தொகுதியின் பெயரே நீங்கள் எந்த யுகத்தில் இருக்கிறீர்கள் என்பதைச் சொல்கிறது: lmnsd_gtls GnuTLS ஐ மடக்குகிறது, lmnsd_ossl OpenSSL ஐ மடக்குகிறது, தற்போதைய 8.x தொகுப்புகள் அதை வழங்குகின்றன। சான்றிதழ் சரிபார்ப்புடன் கூடிய அனுப்பும் செயல் தோராயமாக இப்படித் தெரிகிறது, சரியான அளவுரு பெயர்களை உங்கள் நிறுவப்பட்ட பதிப்புடன் சரிபார்ப்பது மதிப்புள்ளது:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

அனுப்புநரை பிழைத்திருத்துவதற்கு முன் இறுதிப் புள்ளியைச் சரிபார்க்கவும்। openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error செல்லுபடியாகும் சங்கிலியுடன் கைக்குலுக்கலை முடிக்கிறது, இல்லையெனில் எந்தச் சரிபார்ப்பு தோல்வியடைந்தது என்பதைத் துல்லியமாகச் சொல்கிறது। சாதனத்திலிருந்து சோதிக்கவும், உங்கள் மடிக்கணினியிலிருந்து அல்ல, ஏனெனில் சாதனத்தின் நம்பிக்கைச் சேமிப்பகமே முக்கியம்।

SFTP: கோப்புகளுக்கு நல்லது, ஓட்டங்களுக்கு தவறு

கோப்பு அடிப்படையிலான விநியோகம் சுழலும் பதிவுகளை மட்டும் எழுதும் சாதனங்களுக்கு ஏற்றது। SSH அடிப்படையிலான பரிமாற்றம் ஹோஸ்ட் விசைகள், ஒவ்வொரு கணக்கிற்கும் விசைகள் மற்றும் தணிக்கை செய்யக்கூடிய கோப்பு அமைப்பை வழங்குகிறது, இது TLS செய்யவே முடியாத சாதனத்திற்கு நியாயமான நம்பிக்கைக் கதை। நிகழ்வு ஓட்டங்களுக்கு இது மோசமான தேர்வு, அங்கு “கோப்பு ஒவ்வொரு மணி நேரமும் எழுதப்படுகிறது” என்றால் இடையூறு தற்போதைய மணி நேரத்தின் வாலை இழக்கச் செய்கிறது।

ஹோஸ்ட் சரிபார்ப்பை இயக்கத்தில் வைத்திருங்கள்। கேட்புகளைத் தவிர்க்க அதை அணைக்கும் தொகுதி அழைப்பு போக்குவரத்தின் ஒரே அங்கீகாரத்தை அழிக்கிறது:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

வழங்கலின் போது கணக்கின் known_hosts இல் ஹோஸ்ட் விசையைப் பின்னி, கணக்கை இலக்கு அடைவுக்கு வரம்பிடுங்கள், chroot உடன் internal-sftp துணை அமைப்பை விரும்புங்கள்। மறுஅனுப்புதல் கதையையும் திட்டமிடுங்கள்: பகுதி தோல்விக்குப் பிறகு ஒரு கோப்பு மீண்டும் அனுப்பப்பட்டால், சேகரிப்பாளர் நகலைப் புதிய கோப்பிலிருந்து வேறுபடுத்த வேண்டும், பொதுவாக பெயர் மற்றும் செக்சம் மூலம், வருகை நேரத்தால் அல்ல।

உள்ளூர் நுழைவாயில் அல்லது சுரங்கப்பாதையே நேர்மையான பதிலாக இருக்கும்போது

சில சாதனங்கள் யாரும் வெளிப்படுத்த விரும்பாத வடிவத்தில் மட்டுமே பேச முடியும்। அந்த நிலையில் சாதனத்தின் சொந்த வலையமைப்பில் உள்ள அதிகாரமளிக்கப்பட்ட சேகரிப்பாளர் அசல் வடிவத்தைப் பெற்று TLS வழியாக முன்னோக்கி அனுப்புகிறார்। இது சட்டபூர்வமான வடிவமைப்பு, ஆனால் அது என்ன வாங்குகிறது என்பதில் துல்லியமாக இருங்கள்: நுழைவாயிலில் தொடங்கும் மறையாக்கம் சாதனத்திற்கும் நுழைவாயிலுக்கும் இடையிலான பகுதியைப் பின்னோக்கிப் பாதுகாக்காது, எனவே அந்தப் படிக்கு இன்னும் அதன் சொந்த நம்பிக்கை எல்லையும் அணுகல் கட்டுப்பாடும் தேவை।

வழிப்படுத்தப்பட்ட தளம் அல்லது சாதன சுரங்கப்பாதை மிகக் கனமான விருப்பம், மேலும் சேகரிப்பாளர் தனிப்பட்ட முகவரியை வைத்திருக்க வேண்டும் பதிவுகள் மட்டுமல்ல, பல சேவைகளை எடுத்துச் செல்ல வேண்டியிருக்கும்போது சரியானது। இது முகவரி திட்டமிடல், அணுகல் விதிகள், திரும்பும் பாதைகள் மற்றும் சுரங்கப்பாதையின் இறுதிப் புள்ளியின் வாழ்க்கைச் சுழற்சியைக் கொண்டுவருகிறது। உள் நெறிமுறையையும் இது மேம்படுத்தாது: IPsec சுரங்கப்பாதைக்குள் UDP syslog இன்னும் விநியோக உறுதிப்படுத்தல் இல்லாத டேட்டாகிராம் சேவையே।

நீங்கள் எதைத் தேர்ந்தெடுத்தாலும், சேகரிப்பாளரின் அனுமதியைப் போக்குவரத்தை விடக் குறுகலாக வைத்திருங்கள்। சுரங்கப்பாதையின் அடையாளம் ஒரு இறுதிப் புள்ளிக்குச் சொந்தமானது, செய்தியில் கொடுக்கப்பட்ட ஹோஸ்ட்பெயர் புலத்தை எந்தக் கீழ் சாதனம் உருவாக்கியது என்பதைப் பற்றி அது எதுவும் சொல்லாது।

அனுப்புவதற்கு முன் விநியோக ஒப்பந்தத்தை எழுதுங்கள்

மறையாக்கம், அங்கீகாரம் மற்றும் தக்கவைப்பு வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, வரிசை என்பது தக்கவைப்புக் கொள்கை அல்ல। முதல் பதிவு சாதனத்தை விட்டு வெளியேறும் முன், இந்தச் சேகரிப்பாளரில் உறுதிப்படுத்தல் உண்மையில் என்ன அர்த்தம் என்பதை முடிவு செய்யுங்கள்: கம்பியில் பெறப்பட்டது, செயலாக்கத்திற்கு ஏற்கப்பட்டது, அல்லது சேமிப்பகத்தில் நீடித்து எழுதப்பட்டது। இவை மூன்று வெவ்வேறு உத்தரவாதங்கள், கடைசியானது மட்டுமே சேகரிப்பாளரின் மறுதொடக்கத்தைத் தாண்டும்।

பின்னர் செயல்பாட்டுக் கேள்விகளுக்கு எழுத்துப்பூர்வமாகப் பதிலளியுங்கள்। அனுப்பப்படாத நிகழ்வுகள் எங்கே காத்திருக்கின்றன, அந்த இடையகம் மின்தடை காலத்தைத் தாண்டுமா? நிரம்பும்போது என்ன நடக்கிறது, யாருக்குத் தெரிவிக்கப்படுகிறது? மறுமுயற்சிகள் எவ்வாறு வரம்பிடப்படுகின்றன, நகல்கள் எவ்வாறு அடையாளம் காணப்படுகின்றன? அனுப்பும் படி ஹோஸ்ட்பெயரை மீண்டும் எழுதலாம் என்பதால், எந்தப் புலம் அனுப்புநரின் அடையாளத்தை நிரூபிக்கிறது?

வடிவமைப்பை ஒரு பத்தியில் விளக்கக்கூடிய அளவுக்குச் சிறியதாக வைத்திருங்கள்: தேவையான நிகழ்வுகளை எடுத்துச் செல்லும் மிகச் சிறிய ஆதரவு போக்குவரத்து, அது வழங்காத உத்தரவாதங்கள் பற்றிய வெளிப்படையான அறிக்கையுடன்। பதிலுக்கு இரண்டு படிகள் தேவைப்பட்டால், அதை runbook இல் சொல்லுங்கள், ஒவ்வொரு படிக்கும் ஒரு உரிமையாளரைக் கொடுங்கள்।