Tri sata u jednom VPN dnevniku: klijent, mrežni prolaz, skupljač

Vremenska linija VPN incidenta obično počinje s dvije vremenske oznake koje se razlikuju nekoliko minuta i sa prikazom koji pokazuje drugi sat. Iskušenje je izabrati jednu kao tačnu i prepisati drugu. Obje mogu biti tačne, jer su ih napisali različiti satovi o različitim događajima. Mit je da VPN ima jedan sat; posao je otkriti koja je komponenta napisala svako polje.

Mit: VPN ima jedan sat

Klijent zapisuje događaj kada pokuša uspostaviti vezu. Mrežni prolaz zapisuje događaj kada primi ili prihvati taj pokušaj. Skupljač zapisuje vrijeme dolaska kada primi poruku mrežnog prolaza. To su tri događaja i svaki je označen satom kojem je komponenta koja piše vjerovala. Spajanje u jednu vremensku liniju pogodnost je koja skriva nesklad koji pokušavate objasniti.

Brojevi se obično razlikuju od sekundi do minuta i to je normalno. Važno je je li razlika kašnjenje isporuke, pomak sata ili stvarno drugi događaj. Da biste odlučili šta gledate, potrebno je porijeklo svakog polja, a ne jače mišljenje o tome koji je računar u pravu.

Pročitajte izvor prije vrijednosti

Prije upoređivanja vrijednosti utvrdite ko je proizveo svaku i koje je to polje. Syslog poruka nosi vremensku oznaku izvora, kako opisuje RFC 5424, a format može nositi i podatke o kvaliteti vremena koji opisuju sinhronizaciju i tačnost. Isti format dopušta izvoru da ne pošalje nikakvu vremensku oznaku kada ne može pročitati sistemsko vrijeme, što je samo po sebi koristan signal.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klijent može poslati i vrijednost vremena kao metapodatke aplikacije, a servis koji je čuva treba je označiti kao vrijednost koju je prijavio klijent, umjesto da je tretira kao nezavisno provjerenu. Ta oznaka je razlika između dokaza i tvrdnje. Kada izvozite dnevnike za slučaj, držite zajedno naziv polja, izvor i pomak. Svođenje na ugodno lokalno vrijeme uništava upravo informaciju koja vam treba.

Zaustavite se ako ne možete reći koja je komponenta napisala polje. Upoređivanje s bilo čim drugim je nagađanje.

Prikaz vremenske zone nije drugi trenutak

Isti trenutak prikazan kao 10:00Z i kao 18:00+08:00 nije nesklad, a tretiranje kao nesklad gubi pola dana. Pretvorite oba u UTC prije upoređivanja i držite originalni tekst uz pretvorbu. Decimalni razlomak s jedne strane i cijele sekunde s druge također nije sukob. Preciznost nije tačnost: vrijednost s milisekundama može ipak doći sa sata koji je pogrešan nekoliko minuta.

date -u +%FT%TZ
timedatectl

Kašnjenje isporuke je drugo uobičajeno objašnjenje. Mrežni prolaz bilježi kada je prihvatio vezu, a skupljač bilježi kada je poruka stigla do njega, pa je razmak između njih vrijeme prijenosa. Taj razmak govori o cjevovodu dnevnika, a ne o VPN sesiji. Označite ga kao vrijeme dolaska i ono prestaje da se takmiči s vremenom događaja.

Povežite bez prepisivanja dokaza

Zadržite originalne vremenske oznake i dodajte izvedeni stupac ako vam treba zajednički prikaz. Objasnite pretvorbu u bilješkama umjesto da uređujete izvorne zapise, jer izvor je ono što će kasniji pregledač provjeriti. Sačuvajte vrijeme dolaska skupljača odvojeno gdje god postoji.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Promjena sata uređaja nije kontrola privatnosti i ne prepisuje zapise koje drugi sistem već čuva. Ona i dokaze podrške čini težim za upoređivanje i može pokvariti provjere certifikata i koda koje zavise od vremena. Držite satove sinhronizovanim za uobičajen rad i svaki namjerni pomak tretirajte kao kvar koji treba istražiti. Ako dva zapisa izgledaju van redoslijeda, pogledajte sinhronizaciju sata i isporuku prije nego što sastavite novu historiju.

Mit koji treba napustiti jeste da postoji jedno VPN vrijeme. Pitajte šta je napisalo svako polje i šta se dogodilo kada je to učinilo, pa vremenska linija postaje skup označenih zapažanja, a ne proturječnost.