Trije klokken yn ien VPN-loch: klant, gateway, samler

De tiidline fan in VPN-ynsidint begjint meastentiids mei twa tiidstimpels dy’t in pear minuten ferskille en in byldskerm dat in oare oere sjen lit. De ferlieding is om ien as korrekt te kiezen en de oare oer te skriuwen. Beide kinne korrekt wêze, om’t se troch ferskillende klokken oer ferskillende barrens skreaun binne. De myte is dat in VPN ien klok hat; it wurk is om út te finen hokker komponint elk fjild skreau.

De myte: de VPN hat ien klok

In klant skriuwt in barren as er in ferbining besiket. In gateway skriuwt in barren as er dy poging ûntfangt of akseptearret. In samler skriuwt in oankomstiid as er it berjocht fan de gateway ûntfangt. Dat binne trije barrens, en elk wurdt stimpel troch de klok dêr’t it skriuwende komponint op fertroude. Se yn ien tiidline gearfetsje is in gemak dat de ûniensigens ferberget dy’t jo besykje te ferklearjen.

De getallen ferskille meastentiids fan sekonden oant minuten, en dat is normaal. Wat telt, is oft it ferskil in leveringsfertraging, in klokferoaring of in wier oar barren is. Om te besluten nei hokker jo sjogge, is de oarsprong fan elk fjild nedich, net in sterker miening oer hokker masine gelyk hat.

Lês de oarsprong foar de wearde

Foardat jo wearden fergelykje, stel fêst wa’t elk makke hat en hokker fjild it is. In syslog-berjocht draacht in tiidstimpel fan de oarsprong, sa’t RFC 5424 beskriuwt, en it formaat kin ek tiidkwaliteit-ynformaasje drage dy’t syngronisaasje en krektens beskriuwt. Itselde formaat lit de oarsprong hielendal gjin tiidstimpel stjoere as er de systiid net lêze kin, wat op himsels in nuttich sinjaal is.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

In klant kin ek in tiidwearde as applikaasjemetadat stjoere, en in tsjinst dy’t it bewarret soe it as klantrapportearre labelje moatte ynstee fan it as ûnôfhinklik ferifiearre te behanneljen. Dat label is it ferskil tusken bewiis en bewearing. As jo lochs foar in saak eksportearje, hâld dan de fjildnamme, de oarsprong en de feroaring byinoar. Se werombringe ta in noflike pleatslike tiid fernielt krekt de ynformaasje dy’t jo nedich hawwe.

Stop as jo net sizze kinne hokker komponint in fjild skreau. It fergelykje mei eat oars is rieden.

Tiidsône-byld is gjin oar momint

Itselde momint werjûn as 10:00Z en as 18:00+08:00 is gjin ôfwiking, en it as ien behannelje kostet in middei. Konvertearje beide nei UTC foardat jo fergelykje, en hâld de orizjinele tekst njonken de konverzje. In desimale breuk oan ien kant en hiele sekonden oan ’e oare is ek gjin konflikt. Presyzje is gjin krektens: in wearde mei millisekonden kin noch altyd fan in klok komme dy’t minuten mis is.

date -u +%FT%TZ
timedatectl

Leveringsfertraging is de oare gewoane ferklearring. De gateway registrearret wannear’t er de ferbining akseptearre, en de samler registrearret wannear’t it berjocht him berikte, dus it gat dertusken is ferfiertiid. Dat gat seit eat oer de lochpiiplieding, net oer de VPN-sesje. Labelje it as oankomstiid en it hâldt op mei konkurrearjen tsjin de barrentiid.

Korrelearje sûnder it bewiis oer te skriuwen

Hâld de orizjinele tiidstimpels en foegje in ôflate kolom ta as jo in mienskiplik byld nedich hawwe. Ferklearje de konverzje yn ’e notysjes ynstee fan de boarneregistraasjes te bewurkjen, om’t de boarne is wat in lettere beoardieler kontrolearret. Bewarje de oankomstiid fan de samler apart oeral dêr’t it bestiet.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

It feroarjen fan in apparaatklok is gjin privacykontrôle en skriuwt gjin registraasjes oer dy’t in oar systeem al hat. It makket stipebewiis ek hurder te fergelykjen, en it kin de sertifikaat- en koadekontrôles brekke dy’t fan tiid ôfhinklik binne. Hâld klokken syngronisearre foar gewoane operaasje, en behannelje elke bewuste ôfwiking as in fout om te ûndersykjen. As de twa registraasjes bûten folchoarder lykje, sjoch dan nei kloksyngronisaasje en levering foardat jo in nije skiednis bouwe.

De myte dy’t fuort moat, is dat der ien VPN-tiid is. Freegje wat elk fjild skreau en wat der barde doe’t it dat die, en de tiidline wurdt in set fan labelde observaasjes ynstee fan in tsjinstelling.