Þrjár klukkur í einni VPN-skrá: biðlari, hlið, söfnunartæki

Tímalína VPN-atviks byrjar venjulega á tveimur tímasetningum sem greinir á um nokkrar mínútur og skjá sem sýnir aðra klukkustund. Freistingin er að velja aðra sem rétta og endurskrifa hina. Báðar geta verið réttar, því mismunandi klukkur skrifuðu þær um mismunandi atburði. Goðsögnin er að VPN hafi eina klukku; verkið er að komast að því hvaða eining skrifaði hvert svið.

Goðsögnin: VPN hefur eina klukku

Biðlari skrifar atburð þegar hann reynir tengingu. Hlið skrifar atburð þegar það tekur við eða samþykkir þá tilraun. Söfnunartæki skrifar komutíma þegar það tekur við skilaboðum hliðsins. Þetta eru þrír atburðir, og hverjum er stimplaður af þeirri klukku sem skrifandi einingin treysti. Að þjappa þeim í eina tímalínu er þægindi sem felur misræmið sem þú ert að reyna að útskýra.

Tölurnar greinir venjulega á frá sekúndum til mínútna, og það er eðlilegt. Það sem skiptir máli er hvort munurinn sé afhendingartöf, klukkuhliðrun eða í raun annar atburður. Að ákveða hvaða þú ert að skoða krefst uppruna hvers sviðs, ekki sterkari skoðunar um hvaða vél hefur rétt fyrir sér.

Lestu upprunann á undan gildinu

Áður en þú berð saman gildi skaltu greina hver framleiddi hvert þeirra og hvaða svið það er. Syslog-skilaboð bera tímasetningu frá upprunanum, eins og RFC 5424 lýsir, og sniðið getur einnig borið upplýsingar um gæði tíma sem lýsa samstillingu og nákvæmni. Sama snið leyfir upprunanum að senda enga tímasetningu þegar hann getur ekki lesið kerfistímann, sem er í sjálfu sér gagnlegt merki.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Biðlari getur einnig sent tímagildi sem lýsigögn forrits, og þjónusta sem geymir það ætti að merkja það sem tilkynnt af biðlaranum í stað þess að meðhöndla það sem óháð staðfest. Það merki er munurinn á sönnun og fullyrðingu. Þegar þú flytur út skrár fyrir mál skaltu halda sviðsheitinu, upprunanum og hliðruninni saman. Að færa þau niður í þægilegan staðartíma eyðileggur einmitt upplýsingarnar sem þú þarft.

Stoppaðu ef þú getur ekki sagt hvaða eining skrifaði svið. Að bera það saman við eitthvað annað er ágiskun.

Sýning tímabeltis er ekki annar tímapunktur

Sami tímapunktur sýndur sem 10:00Z og sem 18:00+08:00 er ekki misræmi, og að meðhöndla hann sem slíkt eyðir hálfum degi. Umbreyttu báðum í UTC áður en þú berð saman, og hafðu upprunalega textann við hlið umbreytingarinnar. Tugabrot á annarri hlið og heilar sekúndur á hinni eru líka ekki árekstur. Nákvæmni er ekki réttmæti: gildi með millisekúndum getur samt komið frá klukku sem er mínútum skökku.

date -u +%FT%TZ
timedatectl

Afhendingartöf er hin venjulega skýring. Hliðið skráir hvenær það tók við tengingunni, og söfnunartækið skráir hvenær skilaboðin bárust því, svo bilið þar á milli er flutningstími. Það bil segir eitthvað um skrárásina, ekki um VPN-lotuna. Merktu það sem komutíma og það hættir að keppa við tíma atburðarins.

Tengdu án þess að endurskrifa sönnunargögnin

Haltu upprunalegu tímasetningunum og bættu við leiddum dálki ef þú þarft sameiginlega sýn. Útskýrðu umbreytinguna í athugasemdunum í stað þess að breyta upprunafærslunum, því uppruninn er það sem síðari yfirferðarmaður fer yfir. Varðveittu komutíma söfnunartækisins sérstaklega hvar sem hann er til.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Að breyta klukku tækis er ekki persónuverndarstýring og endurskrifar ekki færslur sem annað kerfi geymir þegar. Það gerir einnig stuðningssönnunargögn erfiðari í samanburði, og það geta brotið vottorða- og kóðaprófanir sem ráðast af tímanum. Haltu klukkum samstilltum fyrir venjulega notkun, og meðhöndlaðu hverja viljandi hliðrun sem bilun sem á að rannsaka. Ef færslurnar tvær virðast utan röð, skoðaðu klukkusamstillingu og afhendingu áður en þú byggir nýja sögu.

Goðsögnin sem á að leggja af er að það sé einn VPN-tími. Spyrðu hvað skrifaði hvert svið og hvað gerðist þegar það gerði það, og tímalínan verður safn merktra athugana í stað mótsagnar.