Tres relojes en un solo registro VPN: cliente, puerta de enlace, recolector

La línea temporal de un incidente VPN suele empezar con dos marcas de tiempo que difieren unos minutos y con una pantalla que muestra una hora distinta. La tentación es elegir una como correcta y reescribir la otra. Ambas pueden ser correctas, porque las escribieron relojes distintos sobre sucesos distintos. El mito es que una VPN tiene un solo reloj; el trabajo consiste en averiguar qué componente escribió cada campo.

El mito: la VPN tiene un solo reloj

El cliente escribe un suceso cuando intenta una conexión. La puerta de enlace escribe un suceso cuando recibe o acepta ese intento. El recolector escribe una hora de llegada cuando recibe el mensaje de la puerta de enlace. Son tres sucesos, y cada uno queda sellado por el reloj en el que confió el componente que lo escribe. Colapsarlos en una sola línea temporal es una comodidad que oculta la discrepancia que intenta explicar.

Los números suelen diferir de segundos a minutos, y eso es normal. Lo que importa es si la diferencia es un retraso de entrega, un desfase del reloj o un suceso realmente distinto. Decidir cuál está mirando exige el origen de cada campo, no una opinión más firme sobre qué máquina tiene razón.

Lea el origen antes que el valor

Antes de comparar valores, identifique quién produjo cada uno y de qué campo se trata. Un mensaje syslog lleva una marca de tiempo del origen, como describe RFC 5424, y el formato también puede llevar información de calidad del tiempo que describe la sincronización y la precisión. El mismo formato permite que el origen no envíe ninguna marca de tiempo cuando no puede leer la hora del sistema, lo que en sí mismo es una señal útil.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

El cliente también puede enviar un valor de tiempo como metadatos de la aplicación, y el servicio que lo almacena debería etiquetarlo como declarado por el cliente en lugar de tratarlo como verificado de forma independiente. Esa etiqueta es la diferencia entre una prueba y una afirmación. Cuando exporte registros para un caso, mantenga juntos el nombre del campo, el origen y el desfase. Reducirlos a una hora local cómoda destruye justo la información que necesita.

Deténgase si no puede decir qué componente escribió un campo. Compararlo con cualquier otra cosa es adivinar.

La visualización de la zona horaria no es un instante distinto

El mismo instante mostrado como 10:00Z y como 18:00+08:00 no es una discrepancia, y tratarlo como tal hace perder media jornada. Convierta ambos a UTC antes de comparar y mantenga el texto original junto a la conversión. Una fracción decimal en un lado y segundos enteros en el otro tampoco es un conflicto. La precisión no es la exactitud: un valor con milisegundos puede venir igualmente de un reloj que se equivoca por minutos.

date -u +%FT%TZ
timedatectl

El retraso de entrega es la otra explicación habitual. La puerta de enlace registra cuándo aceptó la conexión, y el recolector registra cuándo le llegó el mensaje, así que el hueco entre ambos es tiempo de transporte. Ese hueco dice algo sobre la canalización de registros, no sobre la sesión VPN. Etiquételo como hora de llegada y deja de competir con la hora del suceso.

Correlacione sin reescribir las pruebas

Conserve las marcas de tiempo originales y añada una columna derivada si necesita una vista común. Explique la conversión en las notas en lugar de editar los registros de origen, porque el origen es lo que revisará un revisor posterior. Preserve la hora de llegada del recolector por separado allí donde exista.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Cambiar el reloj de un dispositivo no es un control de privacidad y no reescribe registros que otro sistema ya tiene. También hace más difícil comparar las pruebas de soporte, y puede romper las comprobaciones de certificados y de código que dependen del tiempo. Mantenga los relojes sincronizados para el funcionamiento ordinario y trate cualquier desviación deliberada como un fallo que investigar. Si los dos registros parecen fuera de secuencia, mire la sincronización del reloj y la entrega antes de construir una historia nueva.

El mito que hay que retirar es que exista un solo tiempo de la VPN. Pregunte qué escribió cada campo y qué ocurrió cuando lo hizo, y la línea temporal se convierte en un conjunto de observaciones etiquetadas en lugar de una contradicción.