Drie klokke in een VPN-log: kliënt, gateway, versamelaar

'n VPN-voorvaltydlyn begin gewoonlik met twee tydmerke wat 'n paar minute verskil en 'n vertoning wat 'n ander uur wys. Die versoeking is om een as korrek te kies en die ander te herskryf. Albei kan reg wees, want hulle is deur verskillende klokke oor verskillende gebeure geskryf. Die mite is dat 'n VPN een klok het; die werk is om uit te vind watter komponent elke veld geskryf het.

Die mite: die VPN het een klok

'n Kliënt skryf 'n gebeurtenis wanneer dit 'n verbinding probeer. 'n Gateway skryf 'n gebeurtenis wanneer dit daardie poging ontvang of aanvaar. 'n Versamelaar skryf 'n aankomstyd wanneer dit die gateway se boodskap ontvang. Dit is drie gebeure, en elkeen word gestempel deur watter klok die skrywende komponent ook al vertrou het. Om hulle in een tydlyn saam te voeg, is 'n gerief wat die meningsverskil verberg wat jy probeer verduidelik.

Die getalle verskil gewoonlik van sekondes tot minute, en dit is normaal. Wat saak maak, is of die verskil afleweringsvertraging, klokverskuiwing of 'n werklik ander gebeurtenis is. Om te besluit na watter een jy kyk, vereis die oorsprong van elke veld, nie 'n sterker mening oor watter masjien reg is nie.

Lees die oorsprong voor die waarde

Voordat jy waardes vergelyk, bepaal wie elkeen geproduseer het en watter veld dit is. 'n Syslog-boodskap dra 'n tydmerk van die oorsprong, soos RFC 5424 beskryf, en die formaat kan ook tydkwaliteit-inligting dra wat sinchronisasie en akkuraatheid beskryf. Dieselfde formaat laat die oorsprong toe om glad geen tydmerk te stuur wanneer dit nie systyd kan lees nie, wat op sigself 'n nuttige sein is.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

'n Kliënt kan ook 'n tydwaarde as toepassingsmetadata stuur, en 'n diens wat dit stoor, moet dit as kliënt-gerapporteer merk eerder as om dit as onafhanklik geverifieer te behandel. Daardie etiket is die verskil tussen bewyse en 'n bewering. Wanneer jy logboeke vir 'n saak uitvoer, hou die veldnaam, die oorsprong en die verskuiwing saam. Om hulle tot 'n vriendelike plaaslike tyd te stroop, vernietig juis die inligting wat jy nodig het.

Stop as jy nie kan sê watter komponent 'n veld geskryf het nie. Om dit met enigiets anders te vergelyk, is giswerk.

Tydsone-vertoning is nie 'n ander oomblik nie

Dieselfde oomblik wat as 10:00Z en as 18:00+08:00 weergegee word, is nie 'n teenstrydigheid nie, en om dit as een te behandel, mors 'n middag. Skakel albei na UTC om voordat jy vergelyk, en hou die oorspronklike teks langs die omskakeling. 'n Desimale breuk aan die een kant en heel sekondes aan die ander is ook nie 'n konflik nie. Presisie is nie akkuraatheid nie: 'n waarde met millisekondes kan steeds van 'n klok kom wat minute verkeerd is.

date -u +%FT%TZ
timedatectl

Afleweringsvertraging is die ander gewone verklaring. Die gateway teken aan wanneer dit die verbinding aanvaar het, en die versamelaar teken aan wanneer die boodskap dit bereik het, so 'n gaping tussen hulle is vervoertyd. Daardie gaping sê iets oor die logpyplyn, nie oor die VPN-sessie nie. Merk dit as aankomstyd en dit hou op om met die gebeurtenistyd mee te ding.

Korreleer sonder om die bewyse te herskryf

Hou die oorspronklike tydmerke en voeg 'n afgeleide kolom by as jy 'n gemeenskaplike siening nodig het. Verduidelik die omskakeling in die notas eerder as om die bronrekords te wysig, want die bron is wat 'n latere keurder sal nagaan. Bewaar die versamelaar se aankomstyd afsonderlik waar dit ook al bestaan.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Om 'n toestelklok te verander, is nie 'n privaatheidsbeheer nie en herskryf nie rekords wat 'n ander stelsel reeds hou nie. Dit maak ondersteuningsbewyse ook moeiliker om te vergelyk, en dit kan die sertifikaat- en kodekontroles breek wat van tyd afhang. Hou klokke gesinchroniseer vir gewone werking, en behandel enige doelbewuste skewing as 'n fout om te ondersoek. As die twee rekords uit volgorde lyk, kyk na kloksinchronisasie en aflewering voordat jy 'n nuwe geskiedenis opbou.

Die mite wat afgeskaf moet word, is dat daar een VPN-tyd is. Vra wat elke veld geskryf het en wat gebeur het toe dit dit gedoen het, en die tydlyn word 'n stel gemerkte waarnemings eerder as 'n teenstrydigheid.