Tri sata u jednom VPN dnevniku: klijent, pristupnik, skupljač

Vremenska crta VPN incidenta obično počinje dvjema vremenskim oznakama koje se razlikuju nekoliko minuta i prikazom koji pokazuje drugi sat. Iskušenje je odabrati jednu kao točnu i prepisati drugu. Obje mogu biti točne jer su ih napisali različiti satovi o različitim događajima. Mit je da VPN ima jedan sat; posao je otkriti koja je komponenta napisala koje polje.

Mit: VPN ima jedan sat

Klijent zapisuje događaj kada pokuša uspostaviti vezu. Pristupnik zapisuje događaj kada primi ili prihvati taj pokušaj. Skupljač zapisuje vrijeme dolaska kada primi poruku pristupnika. To su tri događaja i svaki je označen satom kojemu je komponenta koja piše vjerovala. Njihovo sažimanje u jednu vremensku crtu pogodnost je koja skriva nesklad koji pokušavate objasniti.

Brojevi se obično razlikuju od sekundi do minuta i to je normalno. Važno je je li razlika kašnjenje isporuke, pomak sata ili stvarno drukčiji događaj. Da biste odlučili što gledate, potrebno je podrijetlo svakog polja, a ne čvršće mišljenje o tome koje je računalo u pravu.

Pročitajte izvor prije vrijednosti

Prije usporedbe vrijednosti utvrdite tko je svaku proizveo i o kojem se polju radi. Poruka syslog nosi vremensku oznaku izvora, kako opisuje RFC 5424, a format može nositi i podatke o kvaliteti vremena koji opisuju sinkronizaciju i točnost. Isti format dopušta izvoru da ne pošalje nikakvu vremensku oznaku kada ne može pročitati sistemsko vrijeme, što je samo po sebi koristan signal.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klijent može poslati i vrijednost vremena kao metapodatke aplikacije, a servis koji je pohranjuje trebao bi je označiti kao vrijednost koju je prijavio klijent umjesto da je tretira kao neovisno provjerenu. Ta oznaka razlika je između dokaza i tvrdnje. Kada izvozite dnevnike za slučaj, držite zajedno naziv polja, izvor i pomak. Svođenje na ugodno lokalno vrijeme uništava upravo onu informaciju koja vam treba.

Zaustavite se ako ne možete reći koja je komponenta napisala polje. Usporedba s bilo čim drugim je nagađanje.

Prikaz vremenske zone nije drugi trenutak

Isti trenutak prikazan kao 10:00Z i kao 18:00+08:00 nije nesklad, a tretirati ga tako znači izgubiti pola dana. Pretvorite oba u UTC prije usporedbe i držite izvorni tekst uz pretvorbu. Decimalni razlomak s jedne strane i cijele sekunde s druge također nisu sukob. Preciznost nije točnost: vrijednost s milisekundama može ipak doći sa sata koji griješi nekoliko minuta.

date -u +%FT%TZ
timedatectl

Kašnjenje isporuke je drugo uobičajeno objašnjenje. Pristupnik bilježi kada je prihvatio vezu, a skupljač bilježi kada je poruka stigla do njega, pa je razmak između njih vrijeme prijevoza. Taj razmak govori o cjevovodu dnevnika, a ne o VPN sesiji. Označite ga kao vrijeme dolaska i ono prestaje natjecati se s vremenom događaja.

Povežite bez prepisivanja dokaza

Zadržite izvorne vremenske oznake i dodajte izvedeni stupac ako vam treba zajednički prikaz. Objasnite pretvorbu u bilješkama umjesto da uređujete izvorne zapise, jer izvor je ono što će kasniji pregledavatelj provjeriti. Sačuvajte vrijeme dolaska skupljača odvojeno gdje god postoji.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Promjena sata uređaja nije kontrola privatnosti i ne prepisuje zapise koje drugi sustav već čuva. Ona i dokaze podrške čini težima za usporedbu i može pokvariti provjere certifikata i koda koje ovise o vremenu. Držite satove sinkroniziranima za uobičajen rad i svaki namjerni pomak tretirajte kao kvar koji treba istražiti. Ako dva zapisa izgledaju izvan redoslijeda, pogledajte sinkronizaciju sata i isporuku prije nego što sastavite novu povijest.

Mit koji treba napustiti jest da postoji jedno VPN vrijeme. Pitajte što je napisalo koje polje i što se dogodilo kada je to učinilo, pa vremenska crta postaje skup označenih opažanja, a ne proturječje.