Dräi Aueren an engem VPN-Log: Client, Gateway, Sammler

D’Zäitlinn vun engem VPN-Virfall fänkt meeschtens mat zwou Zäitstempelen un, déi sech ëm e puer Minutten ënnerscheeden, an engem Display, deen eng aner Stonn weist. D’Versuchung ass, eng als richteg ze wielen an déi aner ëmzeschreiwen. Déi zwou kënnen allebéid richteg sinn, well verschidden Auere si iwwer verschidden Evenementer geschriwwen hunn. De Mythos ass, datt eng VPN eng eenzeg Auer huet; d’Aarbecht ass erauszefannen, wéi eng Komponent wat Feld geschriwwen huet.

De Mythos: d’VPN huet eng eenzeg Auer

E Client schreift en Evenement, wann en eng Verbindung versicht. E Gateway schreift en Evenement, wann en déi Versuch kritt oder akzeptéiert. E Sammler schreift eng Arrivéezäit, wann en d’Noriicht vum Gateway kritt. Dat sinn dräi Evenementer, an all eenzel gëtt vun där Auer gestempelt, där d’schreiwend Komponent vertraut huet. Si an eng eenzeg Zäitlinn ze pressen ass eng Bequemlechkeet, déi de Widdersproch verstoppt, deen Dir versicht z’erklären.

D’Zuelen ënnerscheeden sech meeschtens vu Sekonnen bis Minutten, an dat ass normal. Wichteg ass, ob den Ënnerscheed eng Liwwerungsverzögerung, en Auerversatz oder en tatsächlech anert Evenement ass. Fir ze entscheeden, wat Dir kuckt, brauch een den Ursprong vun all Feld, net eng méi staark Meenung doriwwer, wéi eng Maschinn Recht huet.

Liest den Ursprong virum Wäert

Ier Dir Wäerter vergläicht, bestëmmt, wien all eenzel produzéiert huet a wéi ee Feld et ass. Eng syslog-Noriicht dréit en Zäitstempel vum Ursprong, wéi RFC 5424 beschreift, an d’Format kann och Zäitqualitéitsinformatiounen droen, déi Synchronisatioun an Genauigkeit beschreiwen. Datselwecht Format erlaabt dem Ursprong, guer keen Zäitstempel ze schécken, wann en d’Systemzäit net liese kann, wat u sech en nëtzlecht Signal ass.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

E Client kann och en Zäitwäert als Applikatiounsmetadaten schécken, an en Déngscht, deen en späichert, soll en als vum Client gemellt markéieren, amplaz en als onofhängeg verifizéiert ze behandelen. Déi Markéierung ass den Ënnerscheed tëscht Beweis an Assertioun. Wann Dir Loge fir e Fall exportéiert, haalt de Feldnumm, den Ursprong an de Versatz beieneen. Si op eng bequem lokal Zäit ze reduzéieren zerstéiert genau d’Informatioun, déi Dir braucht.

Halt un, wann Dir net kënnt soen, wéi eng Komponent e Feld geschriwwen huet. Et mat eppes anescht ze vergläichen ass eng Vermutung.

D’Zäitzon-Display ass keen anere Moment

Deeselwechte Moment, als 10:00Z an als 18:00+08:00 ugewise, ass keng Diskrepanz, an en als esou ze behandelen kascht en halwen Dag. Konvertéiert allebéid an UTC, ier Dir vergläicht, a behält den Originaltext niewent der Konversioun. En Dezimalbroch op der enger Säit an ganz Sekonnen op der anerer sinn och kee Konflikt. Prezisioun ass net Genauegkeet: e Wäert mat Millisekonnen kann nach ëmmer vun enger Auer kommen, déi Minutte falsch ass.

date -u +%FT%TZ
timedatectl

D’Liwwerungsverzögerung ass déi aner gewéinlech Erklärung. De Gateway registréiert, wéi en d’Verbindung akzeptéiert huet, an de Sammler registréiert, wéi d’Noriicht en erreecht huet, also ass de Spalt tëschent hinnen Transportzäit. Dee Spalt seet eppes iwwer d’Log-Pipeline, net iwwer d’VPN-Sessioun. Markéiert en als Arrivéezäit, an en hält op, mat der Evenementzäit ze konkurréieren.

Korreléiert, ouni d’Beweiser ëmzeschreiwen

Behält déi original Zäitstempelen a füügt eng ofgeleet Kolonn derbäi, wann Dir eng gemeinsam Vue braucht. Erkläert d’Konversioun an den Notizen, amplaz d’Quellandroen ze editéieren, well d’Quell dat ass, wat e spéideren Iwwerpréifer kontrolléiert. Bewahrt d’Arrivéezäit vum Sammler getrennt, wou se och ëmmer existéiert.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

D’Auer vun engem Apparat z’änneren ass keng Dateschutz-Kontroll an schreift keng Androen ëm, déi en anert System schonn huet. Et mécht och Support-Beweiser schwéierer ze vergläichen, an et kann d’Zertifikats- an Codeprüfungen briechen, déi vun der Zäit ofhänken. Halt d’Aueren synchron fir den normale Betrib, a behandelt all bewosst Ofwäichung als Feeler, deen ënnersicht muss ginn. Wann déi zwou Androen aus der Rei schéngen, kuckt d’Auersynchronisatioun an d’Liwwerung, ier Dir eng nei Geschicht baut.

De Mythos, deen een opginn soll, ass datt et eng eenzeg VPN-Zäit gëtt. Frot, wat all Feld geschriwwen huet a wat geschitt ass, wéi et dat gemaach huet, an d’Zäitlinn gëtt eng Rei markéierter Observatiounen amplaz engem Widdersproch.