Tres reloxos nun só rexistro VPN: cliente, pasarela, recollector

A liña temporal dun incidente VPN adoita comezar con dúas marcas de tempo que difiren uns minutos e cunha pantalla que mostra unha hora distinta. A tentación é escoller unha como correcta e reescribir a outra. As dúas poden ser correctas, porque as escribiron reloxos distintos sobre sucesos distintos. O mito é que unha VPN ten un só reloxo; o traballo consiste en descubrir que compoñente escribiu cada campo.

O mito: a VPN ten un só reloxo

O cliente escribe un suceso cando intenta unha conexión. A pasarela escribe un suceso cando recibe ou acepta ese intento. O recollector escribe unha hora de chegada cando recibe a mensaxe da pasarela. Son tres sucesos, e cada un queda selado polo reloxo no que confiou o compoñente que o escribe. Colapsalos nunha soa liña temporal é unha comodidade que agocha a discrepancia que intenta explicar.

Os números adoitan diferir de segundos a minutos, e iso é normal. O que importa é se a diferenza é un atraso de entrega, un desfase do reloxo ou un suceso realmente distinto. Decidir cal está mirando esixe a orixe de cada campo, non unha opinión máis firme sobre que máquina ten razón.

Lea a orixe antes que o valor

Antes de comparar valores, identifique quen produciu cada un e de que campo se trata. Unha mensaxe syslog leva unha marca de tempo da orixe, como describe RFC 5424, e o formato tamén pode levar información de calidade do tempo que describe a sincronización e a precisión. O mesmo formato permite que a orixe non envíe ningunha marca de tempo cando non pode ler a hora do sistema, o que en si mesmo é un sinal útil.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

O cliente tamén pode enviar un valor de tempo como metadatos da aplicación, e o servizo que o almacena debería etiquetalo como declarado polo cliente en lugar de tratalo como verificado de forma independente. Esa etiqueta é a diferenza entre unha proba e unha afirmación. Cando exporte rexistros para un caso, manteña xuntos o nome do campo, a orixe e o desfase. Reducilos a unha hora local cómoda destrúe xusto a información que necesita.

Detéñase se non pode dicir que compoñente escribiu un campo. Comparalo con calquera outra cousa é adiviñar.

A visualización da zona horaria non é un instante distinto

O mesmo instante mostrado como 10:00Z e como 18:00+08:00 non é unha discrepancia, e tratalo como tal fai perder media xornada. Converta ambos a UTC antes de comparar e manteña o texto orixinal xunto á conversión. Unha fracción decimal nun lado e segundos enteiros no outro tampouco é un conflito. A precisión non é a exactitude: un valor con milisegundos pode vir igualmente dun reloxo que se equivoca por minutos.

date -u +%FT%TZ
timedatectl

O atraso de entrega é a outra explicación habitual. A pasarela rexistra cando aceptou a conexión, e o recollector rexistra cando lle chegou a mensaxe, así que o oco entre ambos é tempo de transporte. Ese oco di algo sobre a canalización de rexistros, non sobre a sesión VPN. Etiquéteo como hora de chegada e deixa de competir coa hora do suceso.

Correlacione sen reescribir as probas

Conserve as marcas de tempo orixinais e engada unha columna derivada se necesita unha vista común. Explique a conversión nas notas en lugar de editar os rexistros de orixe, porque a orixe é o que revisará un revisor posterior. Preserve a hora de chegada do recollector por separado alí onde exista.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Cambiar o reloxo dun dispositivo non é un control de privacidade e non reescribe rexistros que outro sistema xa ten. Tamén fai máis difícil comparar as probas de soporte, e pode romper as comprobacións de certificados e de código que dependen do tempo. Manteña os reloxos sincronizados para o funcionamento ordinario e trate calquera desviación deliberada como un fallo que investigar. Se os dous rexistros parecen fóra de secuencia, mire a sincronización do reloxo e a entrega antes de construír unha historia nova.

O mito que hai que retirar é que exista un só tempo da VPN. Pregunte que escribiu cada campo e que ocorreu cando o fixo, e a liña temporal convértese nun conxunto de observacións etiquetadas en lugar dunha contradición.