Binibilang ng status file ang mga session, hindi ang LAN sa likod nila
Naglilista ang snapshot ng mga session ng VPN at estado ng routing, hindi ng bawat makina sa likod ng isang site. Basahin nang sabay ang mga header, uri ng record at edad ng file.
May nagtatanong kung ilang makina ang nasa VPN, at iniharap ang status file bilang ebidensya. Sumasagot ito sa mas makitid na tanong: ilang session ang umiiral sa snapshot na ito, at aling mga virtual address ang niruruta ng server. Ang agwat ng dalawang tanong na iyon ang tahanan ng karamihan ng pagkakamali sa pag-uulat, at ang pagsasara nito ay nagsisimula sa pagbasa ng sariling mga header ng file.
Ano ba talaga ang laman ng snapshot
Isinusulat ang file sa isang pagitan kapag naka-configure ang status output para sa instance ng server na iyon, kaya pana-panahong larawan ito at hindi live na feed. Inililista nang hiwalay ng mga seksyon nito ang mga session at panloob na estado ng routing, at ang bersyon ng format ang nagtatakda ng layout ng mga column.
status /run/openvpn/office.status 30
status-version 3Ang bersyon 3 ay nagsusulat ng mga field na pinaghihiwalay ng tab na may hilera ng header, samantalang iba ang mga lumang format at maaaring magdagdag ng mga field ang mga susunod na bersyon. Basahin ang header sa halip na i-hardcode ang numero ng column, dahil ang script na nag-aakala ng mga posisyon ay tahimik na nasisira sa susunod na upgrade.
| Record | What it describes | What it cannot tell you |
|---|---|---|
| Client list | A session in this snapshot | How many people or machines that session represents |
| Real address | The outer peer address and port | Which device is behind it |
| Routing rows | Virtual addresses and route ownership | Which downstream hosts are alive |
Bilangin ang session, hindi ang tao o makina
Ang isang koneksyon ng site ay maaaring magdala ng trapiko para sa ilang awtorisadong makina sa likod nito. Ang isang tao ay maaari ding maghawak ng higit sa isang session nang sabay, mula sa laptop at telepono. Wala sa mga pattern na iyon ang nakikita sa bilang, kaya may saysay lamang ang mga konektadong user kapag tinukoy mo ang unit. Itanong kung anong unit ang kailangan ng ulat bago magsimulang magbilang ang sinuman.
Kung mahalaga ang bilang para sa lisensya o kapasidad, tukuyin ang unit sa parehong dokumento ng ulat. Ang ulat na hindi nagsasabi kung session, pagkakakilanlan o device ang binibilang ay babasahin bilang ang unit na inaasahan ng mambabasa.
Ang panlabas na address ay hindi identifier
Ang field ng tunay na address ay ang address at port ng peer ayon sa nakikita ng server. Ilang client sa likod ng isang isinaling pampublikong address ang nagbabahagi ng address na iyon, kaya pinagsasama ng pagpapangkat ayon dito ang magkakaibang session. Nagbabago rin ang port sa pagitan ng mga koneksyon, na nagpapawalang-silbi sa pares bilang matatag na key. Ang ulat na pinangkat nang ganoon ay mukhang tumpak at mali.
Gamitin ang epektibong pagkakakilanlan ng client para sa pagpapangkat, at ituring ang address bilang detalye ng transportasyon. Kapag dalawang hilera ang nagbabahagi ng pagkakakilanlan, karaniwang ibig sabihin nito ay sabay na session at hindi duplicate na record.
Ang mga hilera ng routing ay hindi imbentaryo ng host
Ang entry ng routing ay maaaring magpangalan ng subnet na responsibilidad ng isang peer, at ang subnet ay hindi listahan ng mga host nito. Alam ng server na dapat nitong ipadala ang saklaw na iyon sa isang partikular na session, at wala itong ideya kung alin sa mga makinang iyon ang nakabukas, na-authenticate sa isang application o kapaki-pakinabang sa sinuman. Inilalarawan ng routing table ang maabot, hindi ang occupancy. Ang pagkakaibang iyon ang buong dahilan kung bakit hindi masagot ng VPN ang tanong ng imbentaryo.
Maaari ring tumuro ang ilang hilera sa parehong peer, dahil maaaring mag-anunsyo ang isang site ng higit sa isang saklaw. Ang pagbilang ng hilera at pagtawag sa resulta na bilang ng device ay nagpapalaki sa deployment nang arbitraryong factor.
Kung tunay na imbentaryo ng asset ang pangangailangan, gamitin ang proseso ng imbentaryo na nagmamay-ari ng network na iyon. Maaaring tukuyin ng VPN kung aling peer ang may dalang ruta, at ibang katotohanan iyon kaysa sa kung aling mga host ang umiiral sa likod nito.
Edad, pahintulot at live na tanaw
Itabi ang oras ng pagbabago ng file sa bawat sagot. Ang server na huminto ilang oras na ang nakalipas ay iniiwan ang huling snapshot nito, at ang lumang file na iniharap bilang kasalukuyan ay mas masahol pa sa walang ulat.
Dapat umiral ang direktoryo at maisusulat ng account na talagang pinapatakbo ng serbisyo, na madaling kalimutan pagkatapos ng hardening pass. Karaniwang naglalaman ang file ng mga pangalan at address, kaya itago ito sa administratibong lokasyon at hindi kung saan man maipaglilingkod ito ng web server. Suriin ang pahintulot mula sa service account, hindi mula sa iyong shell. Ang snapshot na tahimik na humihinto sa pag-update ay mukhang eksaktong isang tahimik na network.
Para sa mga pangangailangang hinihimok ng kaganapan, gamitin ang sinusuportahang management interface sa halip na mas mabilis na pag-poll. Ituring ang interface na iyon bilang kontrol at hindi bilang metrics, at huwag kailanman ilantad ito sa internet para lang mabilang ang mga session.