Журнал аудита, журнал устройств и отчеты
Журналы и отчеты нужны, чтобы понимать, что происходило в контуре Qarvix: кто менял настройки, какие устройства подключались, когда применялась конфигурация и что можно показать эксплуатации, поддержке или руководителю.
Без журналов удаленный доступ превращается в набор ручных действий. С журналами становится видно, кто что сделал и в какой момент началась проблема.
Коротко
- Журнал аудита показывает действия пользователей и администраторов.
- Журнал устройств показывает события агента, подключения и применения конфигурации.
- Отчеты помогают фиксировать состояние объектов и работу сервиса.
- События нужны для разбора инцидентов и контроля подрядчиков.
- Для production-контуров журналы стоит проверять регулярно, а не только после аварии.
Журнал аудита
Журнал аудита отвечает на вопрос: кто изменил состояние системы.
В нем важно видеть события:
- вход пользователя;
- приглашение пользователя;
- изменение роли;
- создание организации;
- создание сети;
- добавление устройства или клиента;
- генерация токена подключения;
- изменение ACL;
- включение маршрута до LAN-подсети;
- включение exit node или peer mesh;
- создание API-токена;
- отзыв доступа.
Журнал аудита особенно важен для сервисных компаний. Он помогает подтвердить, кто выполнял работы, когда менялся доступ и какие действия предшествовали обращению клиента.
Журнал устройств
Журнал устройства показывает, что происходило с конкретным роутером, агентом или участником сети.
Полезные события:
- устройство подключилось;
- устройство ушло offline;
- агент получил конфигурацию;
- конфигурация применена;
- WireGuard поднялся или потерял связь;
- heartbeat перестал приходить;
- изменились данные устройства;
- обновилась версия агента;
- произошла ошибка применения маршрута;
- устройство отправило диагностические сведения.
Журнал устройства помогает отделить проблему доступа от проблемы настройки. Например, если агент получает конфигурацию, но LAN недоступна, вероятно, нужно смотреть маршрутизацию, firewall или ACL.
События подключения
Для эксплуатации важны не только ошибки, но и обычные события online/offline.
Проверяйте:
- когда устройство последний раз было online;
- как часто оно теряет связь;
- совпадают ли отключения с проблемами мобильного оператора;
- виден ли свежий WireGuard-handshake;
- применялась ли конфигурация после изменения маршрута;
- не вытеснялась ли старая WSS-сессия новой.
Если устройство подключено через обычную SIM-карту, кратковременные потери связи могут быть связаны с качеством мобильной сети. Журнал помогает отличить такие случаи от ошибок конфигурации.
Отчеты
Отчеты нужны для регулярной эксплуатации и для общения с нетехническими участниками проекта.
Типовые вопросы, на которые должен отвечать отчет:
- какие объекты подключены;
- какие устройства online;
- какие устройства давно не выходили на связь;
- какие версии агентов используются;
- какие LAN-подсети открыты через туннель;
- кто имеет доступ к объектам;
- какие изменения доступа происходили за период;
- какие события были перед инцидентом;
- какие работы выполнила сервисная команда.
Для руководителя отчет показывает не только “VPN работает”, а управляемость: объекты видны, доступы контролируются, действия проверяются.
Отчеты для сервисной команды
Сервисной команде обычно нужны:
- список объектов и статусов;
- список устройств с VPN IP;
- проблемные устройства;
- последние события;
- маршруты до LAN;
- доступные API устройств;
- пользователи с доступом к объекту;
- изменения за период.
Такой отчет помогает планировать работы и быстрее разбирать обращения.
Отчеты для клиента или руководителя
Клиенту или руководителю чаще не нужны подробности WireGuard и WSS.
Полезнее показать:
- сколько объектов подключено;
- какие объекты доступны;
- где есть проблемы связи;
- какие работы выполнялись;
- кто имел доступ;
- какие изменения были сделаны;
- какие риски или открытые вопросы остались.
Формулировки должны быть понятны без глубоких сетевых знаний.
Разбор инцидента
При инциденте важно собрать цепочку событий.
Порядок:
- Определите объект, сеть и устройство.
- Проверьте журнал аудита за период перед инцидентом.
- Посмотрите изменения ACL, маршрутов, пользователей и токенов.
- Откройте журнал устройства.
- Проверьте online/offline, heartbeat и WireGuard-handshake.
- Сравните время изменений с временем жалобы.
- Проверьте отчеты или выгрузки за период.
- Зафиксируйте вывод и дальнейшие действия.
Такой подход помогает не спорить “кто что менял”, а смотреть на последовательность событий.
Контроль подрядчиков
Если подрядчик получает доступ к объекту, журналы должны помочь проверить:
- когда доступ был выдан;
- кто его выдал;
- к какой сети или подсети;
- какие действия выполнялись;
- когда работы завершились;
- был ли доступ отозван;
- менялись ли маршруты или ACL.
Это особенно важно, если подрядчик работает с камерами, PLC, кассами или API устройств.
Что фиксировать в отчетах
Минимальный набор для эксплуатационного отчета:
| Блок | Что включить |
|---|---|
| Объекты | название, организация, сеть |
| Устройства | имя, тип, VPN IP, статус, last seen |
| Версии | модель, прошивка, агент |
| Маршруты | LAN-подсети, gateway, назначение |
| Доступ | пользователи, роли, временные доступы |
| События | подключения, ошибки, изменения конфигурации |
| Риски | offline-устройства, старые агенты, пересечения подсетей |
Формат отчета можно адаптировать под клиента: краткая управленческая версия и подробная техническая версия.
Частые ситуации
Пользователь говорит, что “ничего не менял”
Проверьте журнал аудита: изменения ролей, ACL, маршрутов, токенов и сетей.
Устройство внезапно стало offline
Проверьте журнал устройства, время последнего heartbeat, WireGuard-handshake и события мобильной сети или firewall.
После изменения маршрута LAN недоступна
Проверьте, применил ли агент конфигурацию, есть ли маршрут в сети, разрешен ли доступ ACL и нет ли конфликта подсетей.
Подрядчик завершил работы
Проверьте, что его доступ отозван, временные токены не активны, API-токены не создавались без необходимости, а изменения отражены в журнале.
Нужно подтвердить выполненные работы
Сформируйте отчет по объекту: период, подключенные устройства, события, изменения доступа и текущий статус.
Практические рекомендации
- Проверяйте журналы после каждого изменения доступа.
- Для production-контуров сохраняйте отчеты за регулярные периоды.
- Не удаляйте события, которые могут понадобиться для расследования.
- Разделяйте отчеты для инженеров и руководителей.
- Фиксируйте, кто отвечает за каждый объект.
- Используйте понятные имена сетей и устройств, чтобы отчеты читались без расшифровки.
- После работ подрядчика проверяйте аудит и отзывайте доступ.
Контрольный список
- Журнал аудита показывает изменения пользователей, ролей и маршрутов.
- Журнал устройств показывает события подключения и применения конфигурации.
- Для объектов можно сформировать отчет по статусам.
- В отчетах видны offline-устройства.
- В отчетах видны версии агентов и прошивок, если доступны.
- Доступ подрядчиков проверяется после завершения работ.
- Изменения ACL и subnet routes фиксируются.
- Для инцидентов можно восстановить последовательность событий.
Связанные разделы
- Пользователи, роли и SSO - кто получает доступ и как его отзывать.
- Устройства и VPN-адреса - какие данные устройств полезны для отчетов.
- Сети, маршруты и ACL - какие изменения маршрутов и правил нужно отслеживать.
- Диагностика и типовые проблемы - как использовать журналы при поиске причин.