5651 Log Kapasitesi

Oturum hızını nereden okursunuz?

Aradığınız sayı firewall'un yeni oturum kurma hızıdır, marka marka adı değişir: session setup rate, new sessions per second, connections per second. Cihazın yönetim arayüzünde genelde ikinci planda durur.

Cihaza erişemiyorsanız logun kendisini sayın. Bir yere log gönderiyorsanız dünkü dosyanın satır sayısını alın ve oturum başına kayıt sayısına bölün; çıkan sayı doğrudan yukarıdaki "oturum / gün" alanına girer ve tahmin içermez. Hiç log tutulmuyorsa okunacak bir sayı da yoktur, ki 5651 açısından asıl sorun zaten odur.

Neden kullanıcı sayısı sorulmuyor?

Çünkü kaydın birimi kullanıcı değil. 5651'in istediği şey "hangi iç IP, hangi zaman diliminde, hangi dış IP ve porta çıktı" olduğuna göre her oturum bir kayıt demektir ve kullanıcıdan oturuma giden çarpan sabit değildir.

Mailini okuyup kapatan bir kullanıcı dakikada birkaç oturum açar. Aynı masada anlık mesajlaşma açık, bulut senkronu çalışıyor ve tarayıcıda onlarca CDN'e bağlanan modern bir sayfa duruyorsa aynı kullanıcı yüzlerce oturum açar. Otel ile ofis arasındaki meşhur fark da buradan gelir, kişi sayısından değil.

Bir araç bu çarpanı kendisi seçerse, kullanıcıya kendi uydurduğu sayıyı geri vermiş olur. Bu yüzden burada kullanıcı sayısı alanı yok: araç sizi kendi cihazınızın sayacına gönderiyor.

Kayıt boyutu ve sıkıştırma nereden geliyor?

Aracın varsayılan değerleri tahmin değil, ölçüm. 5651'in istediği alanları taşıyan 300.000 kayıtlık bir NAT oturum logu üretip sıkıştırdık:

Pratik sonuç şu: arşivlenmiş bir oturum kaydı gzip ile 24 ile 37 bayt arasında yer tutuyor. Küçük bir sayı, ama günde on milyonlarca kere tekrarlanıyor ve iki yıl boyunca duruyor.

Firewall'un kendi diski bu iş için değildir

Firewall logu genellikle cihazın kendi diskinde birkaç hafta durur ve kapasite dolunca en eski kayıtların üzerine yazılır. İki yıllık saklama şartıyla doğrudan çelişen bir davranış ve sessiz işliyor: ekranda bir şey bozulmaz, kimse uyarı almaz, eksik olan yasal talep geldiği gün fark edilir.

Yukarıdaki hesap tek nüsha bir arşivin boyutunu veriyor. Gerçek kurulumda bu arşivin kendisi de yedeklenmeli, şifrelenmeli ve zaman damgalı olmalı; tek bir disk arızası ya da fidye yazılımı iki yıllık kaydı götürürse ibraz edecek bir şey kalmaz. Denetim karşısında "sunucumuz bozuldu" bir savunma değildir.

Devamı

Saklama, değiştirilemezlik ve ibraz tarafının tamamı için 5651 log yönetimi sayfasına bakın. Kaydı üreten katman için firewall kurulumu ve yönetimi, misafir tarafındaki kimlik doğrulama için misafir Wi-Fi ve hotspot kurulumu rehberlerimiz var. Toplayıcıyı kendiniz kurmak isterseniz Linux syslog sunucusu kurulumu adım adım anlatıyor.