Subaybayan ang mga peer ng VPN nang hindi nagre-record kung saan sila nagba-browse

Ang pagsubaybay sa isang peer ng VPN ay nangangailangan ng apat na katotohanan, at wala sa mga ito ang destinasyon. Kung nakabukas ang tunnel, kailan huling nagpalitan ng trapiko, aling mga key ang kasangkot at gaano ang gumalaw ay sapat na para sa availability. Anumang higit pa riyan ay rekord tungkol sa isang tao, at dapat itong maging sinadyang desisyon kaysa epekto ng pagbukas ng pahina ng status. Magsimula sa tanong na kailangan mong sagutin, pagkatapos piliin ang pinakamaliit na output na sumasagot dito.

Magpasya sa tanong bago ang tool

Isulat muna ang operasyonal na tanong: konektado ba ang peer na ito, at gumagalaw ba ito ng trapiko? Ang tanong na iyon ay nangangailangan ng live na tanawin, at ang live na tanawin ay walang problema sa pagtago. Ang ikalawang tanong, kung konektado ang peer noong 02:00 noong nakaraang Martes, ay nangangailangan ng nakatagong serye at samakatuwid ay desisyon sa pagtago. Ang paghihiwalay ng dalawang iyon ay ang buong disenyo, dahil ang live na tanawin ay mura habang ang nakatagong serye ay nagiging usapan tungkol sa proteksyon ng datos.

Panatilihing hiwalay din ang pagsusuri ng kalusugan sa output ng status. Ang kamakailang handshake ay nagpapatunay na nakipag-usap ang tunnel, hindi na gumagana ang pribadong aplikasyon sa likod nito, kaya subukan ang aplikasyon sa pamamagitan ng awtorisadong pagsusuri sa halip na hulaan ito mula sa mga counter. Kapag nabigo ang pagsusuri at ang handshake ay kamakailan, ang problema ay nasa kabila ng tunnel.

Basahin ang tatlong field na sumasagot dito

Ang karaniwang output ng status ng WireGuard ay may interface, pampublikong key, endpoint, pinakabagong handshake at mga counter ng paglipat. Ang presensya ay nangangailangan ng pampublikong key at pinakabagong handshake; kung kailangan, idagdag ang mga byte counter upang makita ang paggalaw. Hindi kailangan ang endpoint para sa presensya at ito ang unang field na dapat alisin, dahil tinutukoy nito kung saan kumokonekta ang isang device. Inilalarawan ng pahina ng manwal ang bawat field na ipinapalabas ng tool, at sapat na maikli upang basahin nang isang beses:

wg show
wg show wg0 latest-handshakes

Basahin ang mga numerong iyon bilang edad kaysa boolean. Ang handshake ay aktuwal lamang kaugnay sa sariling pagitan ng pag-renew ng key ng protocol, at ang counter na hindi gumalaw ay maaaring mangahulugan ng idle na peer kaysa sirang isa. Panatilihing pareho sa isang tanawin upang mabasa nang sabay ang edad at paggalaw.

Pumili ng pagitan na kaya mong ipagtanggol

Ang bawat sample ng status ay rekord, kaya ang pagitan ay desisyon sa pagtago na may label ng pagsubaybay. Ang sample bawat sampung segundo ay nagbibigay ng pinong detalye at nagpaparami ng nakatagong hanay, habang ang sample bawat minuto ay karaniwang sapat para sa availability sa ikaanim ng gastos. Piliin ang pagitan mula sa ipinangakong oras ng tugon at hindi mula sa kaya ng tool. Pagkatapos isulat ang numero sa tabi ng dashboard.

Para sa OpenVPN, ang pasilidad ng status ay nagsusulat ng file sa naka-configure na pagitan. Sa configuration ng server ganito ang hitsura status /var/log/openvpn-status.log 60, kung saan ang huling numero ay ang mga segundo sa pagitan ng mga muling pagsulat, at ang file ay pinapalitan kaysa dinadagdagan. Mahalaga ang detalyeng iyon: ang pinalitang file ay walang kasaysayan, habang ang kolektor na nagdadagdag ay gumagawa nito.

Kumpirmahin na iginagalang din ng kolektor ang pagitan. Ang tool na kumukuha ng sample bawat segundo at nagtatago ng isang hanay kada minuto ay nagbabasa pa rin bawat segundo.

Panatilihing stable ang mga label at limitado ang mapping

Ang pampublikong key ay tumutukoy sa relasyon ng device kahit walang nakalakip na pangalan, kaya ituring ang key bilang personal na datos kaysa opaque na identifier. Lagyan ng label ang mga peer gamit ang stable na panloob na identifier na nakakaligtas sa mga muling pagkonekta, at panatilihing limitado ang lugar ng mapping mula identifier hanggang tao. Ang dashboard na nagsusulat ng time series ay nakatagong rekord kahit walang sariling file ang VPN. Kapag ang dashboard ang tanging imbakan, doon nalalapat ang panuntunan sa pagtago.

Repasuhin din ang daan ng export, dahil ang kinopyang CSV ay mas matagal kaysa sa sistemang gumawa nito. Ang pinagsama-samang availability ay kadalasang sapat para sa ulat: ang proporsyon ng mga peer na may handshake sa loob ng window ay sumasagot sa operasyonal na tanong nang hindi naglilista kung sino ang konektado at kailan.

Idokumento kung ano ang kinokolekta at hindi

Isulat ang paglalarawan ng koleksyon sa simpleng wika: aling mga field, mula sa aling interface, sa aling pagitan, nakatago saan, itinatago nang gaano katagal at sino ang makakabasa. Ilagay ito sa tabi ng runbook at hindi sa imbakan ng patakaran na walang bumubukas habang may insidente. Dapat din sabihin ng paglalarawan kung ano ang hindi nakikita ng pagsubaybay, dahil iyon ang pumipigil sa iba na ipalagay na ang kawalan ng datos ng pagba-browse ay kawalan ng mga rekord.

Repasuhin ang window ng pagtago tuwing magbabago ang pagsubaybay, dahil ang bagong field ay tahimik na nagpapahaba sa itinatago. Pagkatapos ay tanggalin ang sinasabi ng paglalarawan na tinatanggal mo, at i-verify na talagang nangyari ang pagtanggal.