Három óra egy VPN-naplóban: kliens, átjáró, gyűjtő

Egy VPN-esemény idővonala általában két, néhány perccel eltérő időbélyeggel és egy másik órát mutató kijelzővel kezdődik. A kísértés az, hogy az egyiket helyesnek válasszuk, és átírjuk a másikat. Mindkettő helyes lehet, mert különböző órák írták őket különböző eseményekről. A mítosz az, hogy a VPN-nek egyetlen órája van; a munka annak kiderítése, melyik komponens írta az egyes mezőket.

A mítosz: a VPN-nek egyetlen órája van

A kliens eseményt ír, amikor kapcsolatot kísérel meg. Az átjáró eseményt ír, amikor megkapja vagy elfogadja ezt a kísérletet. A gyűjtő érkezési időt ír, amikor megkapja az átjáró üzenetét. Ez három esemény, és mindegyiket az az óra bélyegzi, amelyben az író komponens megbízott. Egyetlen idővonalba sűríteni őket olyan kényelem, amely elrejti azt az eltérést, amelyet magyarázni próbál.

A számok általában másodperctől percig térnek el, és ez normális. Az számít, hogy az eltérés kézbesítési késleltetés, óraelcsúszás vagy valóban más esemény-e. Annak eldöntéséhez, hogy mit néz, az egyes mezők eredetére van szükség, nem arra, hogy melyik gépnek van igaza.

Az érték előtt olvassa el a forrást

Az értékek összehasonlítása előtt azonosítsa, ki állította elő mindegyiket, és melyik mezőről van szó. A syslog üzenet időbélyeget hordoz a forrástól, ahogy a RFC 5424 leírja, és a formátum időminőségi információt is hordozhat, amely a szinkronizációt és a pontosságot írja le. Ugyanez a formátum lehetővé teszi a forrás számára, hogy egyáltalán ne küldjön időbélyeget, ha nem tudja olvasni a rendszeridőt, ami önmagában is hasznos jel.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

A kliens időértéket alkalmazás-metaadatoként is küldhet, és az azt tároló szolgáltatásnak kliens által jelentettként kellene megjelölnie, ahelyett hogy függetlenül ellenőrzöttként kezelné. Ez a jelölés a bizonyíték és az állítás közötti különbség. Amikor naplókat exportál egy esethez, tartsa együtt a mezőnevet, a forrást és az elcsúszást. Kényelmes helyi időre redukálni őket éppen azt az információt pusztítja el, amelyre szüksége van.

Álljon meg, ha nem tudja megmondani, melyik komponens írta a mezőt. Bármi máshoz hasonlítani találgatás.

Az időzóna megjelenítése nem másik pillanat

Ugyanaz a pillanat 10:00Z-ként és 18:00+08:00-ként megjelenítve nem eltérés, és annak tekinteni fél napot veszít. Az összehasonlítás előtt alakítsa mindkettőt UTC-vé, és tartsa az eredeti szöveget az átalakítás mellett. Az egyik oldalon tizedes tört, a másikon egész másodpercek szintén nem ellentmondás. A pontosság nem helyesség: egy ezredmásodperces érték is jöhet percekkel tévedő órától.

date -u +%FT%TZ
timedatectl

A kézbesítési késleltetés a másik szokásos magyarázat. Az átjáró rögzíti, mikor fogadta el a kapcsolatot, a gyűjtő pedig rögzíti, mikor érkezett meg hozzá az üzenet, így a kettő közötti hézag szállítási idő. Az a hézag a naplócsővezetékről mond valamit, nem a VPN-munkamenetről. Jelölje meg érkezési időként, és nem versenyez tovább az esemény idejével.

Korreláljon a bizonyítékok átírása nélkül

Tartsa meg az eredeti időbélyegeket, és adjon hozzá származtatott oszlopot, ha közös nézetre van szüksége. A forrásrekordok szerkesztése helyett magyarázza el az átalakítást a jegyzetekben, mert a forrást fogja ellenőrizni egy későbbi ellenőrző. A gyűjtő érkezési idejét mindenhol külön őrizze meg, ahol létezik.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Egy eszköz órájának megváltoztatása nem adatvédelmi kontroll, és nem írja át azokat a rekordokat, amelyeket egy másik rendszer már tart. Nehezebbé teszi a támogatási bizonyítékok összehasonlítását is, és megtörheti az időtől függő tanúsítvány- és kódellenőrzéseket. Tartsa az órákat szinkronban a normál működéshez, és minden szándékos eltérést kivizsgálandó hibaként kezeljen. Ha a két rekord sorrenden kívülinek tűnik, nézze meg az óraszinkronizációt és a kézbesítést, mielőtt új történelmet építene.

A mítosz, amelyet el kell vetni, az, hogy létezik egyetlen VPN-idő. Kérdezze meg, mi írta az egyes mezőket, és mi történt, amikor írta, és az idővonal címkézett megfigyelések halmazává válik ellentmondás helyett.