Tiga jam dalam satu log VPN: klien, gateway, pengumpul

Garis waktu insiden VPN biasanya dimulai dengan dua stempel waktu yang selisih beberapa menit dan tampilan yang menunjukkan jam berbeda. Godaan itu adalah memilih satu sebagai yang benar dan menulis ulang yang lain. Keduanya bisa benar, karena jam yang berbeda menulisnya tentang peristiwa yang berbeda. Mitonya adalah VPN punya satu jam; pekerjaannya adalah mencari tahu komponen mana yang menulis setiap bidang.

Mitos: VPN punya satu jam

Klien menulis peristiwa saat mencoba koneksi. Gateway menulis peristiwa saat menerima atau menyetujui percobaan itu. Pengumpul menulis waktu kedatangan saat menerima pesan gateway. Itu tiga peristiwa, dan masing-masing dicap oleh jam yang dipercaya komponen penulisnya. Menggabungkannya menjadi satu garis waktu adalah kemudahan yang menyembunyikan ketidaksesuaian yang coba Anda jelaskan.

Angkanya biasanya berbeda dari detik hingga menit, dan itu normal. Yang penting adalah apakah selisih itu keterlambatan pengiriman, pergeseran jam, atau peristiwa yang benar-benar berbeda. Untuk memutuskan mana yang Anda lihat diperlukan asal setiap bidang, bukan pendapat yang lebih keras tentang mesin mana yang benar.

Baca sumbernya sebelum nilainya

Sebelum membandingkan nilai, identifikasi siapa yang menghasilkan masing-masing dan bidang apa itu. Pesan syslog membawa stempel waktu dari sumbernya, seperti yang dijelaskan RFC 5424, dan formatnya juga dapat membawa informasi kualitas waktu yang menjelaskan sinkronisasi dan akurasi. Format yang sama memungkinkan sumbernya tidak mengirim stempel waktu sama sekali ketika tidak dapat membaca waktu sistem, dan itu sendiri adalah sinyal yang berguna.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klien juga dapat mengirim nilai waktu sebagai metadata aplikasi, dan layanan yang menyimpannya harus melabelinya sebagai dilaporkan klien alih-alih memperlakukannya sebagai terverifikasi secara independen. Label itulah selisih antara bukti dan klaim. Saat mengekspor log untuk suatu kasus, simpan nama bidang, asal, dan pergeseran bersama-sama. Menguranginya menjadi waktu lokal yang nyaman justru menghancurkan informasi yang Anda butuhkan.

Berhentilah jika Anda tidak dapat mengatakan komponen mana yang menulis suatu bidang. Membandingkannya dengan hal lain adalah menebak.

Tampilan zona waktu bukanlah waktu yang berbeda

Momen yang sama yang ditampilkan sebagai 10:00Z dan sebagai 18:00+08:00 bukanlah ketidaksesuaian, dan memperlakukannya demikian membuang setengah hari. Ubah keduanya ke UTC sebelum membandingkan, dan simpan teks aslinya di samping konversi. Pecahan desimal di satu sisi dan detik bulat di sisi lain juga bukan konflik. Presisi bukan akurasi: nilai dengan milidetik tetap bisa berasal dari jam yang meleset beberapa menit.

date -u +%FT%TZ
timedatectl

Keterlambatan pengiriman adalah penjelasan biasa yang lain. Gateway mencatat kapan menerima koneksi, dan pengumpul mencatat kapan pesan sampai kepadanya, jadi celah di antara keduanya adalah waktu transportasi. Celah itu mengatakan sesuatu tentang saluran log, bukan tentang sesi VPN. Beri label waktu kedatangan dan ia berhenti bersaing dengan waktu peristiwa.

Korelasikan tanpa menulis ulang bukti

Pertahankan stempel waktu asli dan tambahkan kolom turunan jika Anda memerlukan tampilan bersama. Jelaskan konversinya dalam catatan alih-alih menyunting catatan sumber, karena sumber itulah yang akan diperiksa peninjau berikutnya. Simpan waktu kedatangan pengumpul secara terpisah di mana pun waktu itu ada.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Mengubah jam perangkat bukan kontrol privasi dan tidak menulis ulang catatan yang sudah dipegang sistem lain. Itu juga membuat bukti dukungan lebih sulit dibandingkan, dan dapat merusak pemeriksaan sertifikat serta kode yang bergantung pada waktu. Jaga jam tetap tersinkronisasi untuk operasi biasa, dan perlakukan setiap pergeseran yang disengaja sebagai kesalahan yang harus diselidiki. Jika kedua catatan tampak tidak berurutan, lihat sinkronisasi jam dan pengiriman sebelum menyusun sejarah baru.

Mitos yang harus ditinggalkan adalah bahwa ada satu waktu VPN. Tanyakan apa yang menulis setiap bidang dan apa yang terjadi saat itu menulisnya, dan garis waktu menjadi sekumpulan pengamatan berlabel alih-alih pertentangan.