Bir VPN jurnalında üç saat: müştəri, şlüz, toplayıcı

VPN insidentinin xronologiyası adətən bir neçə dəqiqə fərqlənən iki vaxt damğası və fərqli saat göstərən ekranla başlayır. Cazibə birini doğru seçib digərini yenidən yazmaqdır. Hər ikisi doğru ola bilər, çünki onları müxtəlif saatlar müxtəlif hadisələr haqqında yazıb. Mif VPN-in bir saatı olmasıdır; iş hər sahəni hansı komponentin yazdığını tapmaqdır.

Mif: VPN-in bir saatı var

Müştəri bağlantıya cəhd edəndə hadisə yazır. Şlüz bu cəhdi qəbul edəndə və ya ona icazə verəndə hadisə yazır. Toplayıcı şlüzün mesajını alanda gəlmə vaxtı yazır. Bunlar üç hadisədir və hər biri yazan komponentin etibar etdiyi saatla damğalanır. Onları tək xronologiyaya yığmaq, izah etməyə çalışdığınız uyğunsuzluğu gizlədən bir rahatlıqdır.

Rəqəmlər adətən saniyələrdən dəqiqələrə qədər fərqlənir və bu normaldır. Vacib olan fərqin çatdırılma gecikməsi, saat sürüşməsi yoxsa həqiqətən fərqli hadisə olmasıdır. Hansına baxdığınızı qərar vermək hər sahənin mənşəyini tələb edir, hansı maşının haqlı olması barədə daha güclü fikir deyil.

Dəyərdən əvvəl mənbəni oxuyun

Dəyərləri müqayisə etməzdən əvvəl hər birini kimin yaratdığını və hansı sahə olduğunu müəyyən edin. Syslog mesajı RFC 5424 təsvir etdiyi kimi mənbədən vaxt damğası daşıyır və format həmçinin sinxronizasiya və dəqiqliyi təsvir edən vaxt keyfiyyəti məlumatı daşıya bilər. Eyni format mənbəyə sistem vaxtını oxuya bilmədikdə heç bir vaxt damğası göndərməməyə imkan verir ki, bu da özlüyündə faydalı siqnaldır.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Müştəri həmçinin tətbiq metadatası kimi vaxt dəyəri göndərə bilər və onu saxlayan xidmət müstəqil yoxlanılmış kimi qəbul etmək əvəzinə müştəri bildirişi kimi işarələməlidir. Bu işarə sübutla iddia arasındakı fərqdir. Bir iş üçün jurnalları ixrac edərkən sahə adını, mənşəyi və sürüşməni birlikdə saxlayın. Onları rahat yerli vaxta çevirmək məhz sizə lazım olan məlumatı məhv edir.

Bir sahəni hansı komponentin yazdığını deyə bilmirsinizsə, dayanın. Onu başqa bir şeylə müqayisə etmək təxmindir.

Saat qurşağı göstərimi fərqli an deyil

Eyni anın 10:00Z və 18:00+08:00 kimi göstərilməsi uyğunsuzluq deyil və onu belə qəbul etmək günün yarısını boşa xərcləyir. Müqayisə etməzdən əvvəl hər ikisini UTC-yə çevirin və orijinal mətni çevirmənin yanında saxlayın. Bir tərəfdə onluq kəsr, digərində tam saniyələr olması da ziddiyyət deyil. Dəqiqlik etibarlılıq deyil: millisaniyəli dəyər dəqiqələrlə səhv olan saatdan da gələ bilər.

date -u +%FT%TZ
timedatectl

Çatdırılma gecikməsi digər adi izahdır. Şlüz bağlantını qəbul etdiyi vaxtı, toplayıcı isə mesajın ona çatdığı vaxtı qeyd edir, buna görə aralarındakı boşluq nəql vaxtıdır. Bu boşluq VPN sessiyası haqqında deyil, jurnal boru xətti haqqında bir şey deyir. Onu gəlmə vaxtı kimi işarələyin və o, hadisə vaxtı ilə rəqabət etməyi dayandırsın.

Sübutu yenidən yazmadan əlaqələndirin

Orijinal vaxt damğalarını saxlayın və ümumi görünüş lazımdırsa, törəmə sütun əlavə edin. Çevirməni mənbə qeydlərini redaktə etmək əvəzinə qeydlərdə izah edin, çünki mənbə sonrakı yoxlayıcının yoxlayacağı şeydir. Toplayıcının gəlmə vaxtını hər yerdə ayrıca qoruyun.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Cihaz saatını dəyişmək məxfilik nəzarəti deyil və başqa sistemin artıq saxladığı qeydləri yenidən yazmır. O, həmçinin dəstək sübutlarını müqayisə etməyi çətinləşdirir və vaxtdan asılı olan sertifikat və kod yoxlamalarını poza bilər. Adi iş üçün saatları sinxron saxlayın və hər hansı qəsdən sürüşməni araşdırılmalı nasazlıq kimi qəbul edin. İki qeyd ardıcıllıqdan kənar görünürsə, yeni tarixçə qurmazdan əvvəl saat sinxronizasiyasına və çatdırılmaya baxın.

Tərk edilməli mif tək bir VPN vaxtının olmasıdır. Hər sahəni nəyin yazdığını və bunu edərkən nə baş verdiyini soruşun, onda xronologiya ziddiyyət deyil, etiketli müşahidələr toplusuna çevrilir.