Trys laikrodžiai viename VPN žurnale: klientas, tarpinė, rinkėjas

VPN incidento laiko juosta paprastai prasideda dviem laiko žymėmis, kurios skiriasi keliomis minutėmis, ir ekranu, rodančiu kitą valandą. Pagunda yra pasirinkti vieną kaip teisingą ir perrašyti kitą. Abi gali būti teisingos, nes jas užrašė skirtingi laikrodžiai apie skirtingus įvykius. Mitas yra tai, kad VPN turi vieną laikrodį; darbas yra išsiaiškinti, kuris komponentas užrašė kiekvieną lauką.

Mitas: VPN turi vieną laikrodį

Klientas užrašo įvykį, kai bando prisijungti. Tarpinė užrašo įvykį, kai gauna arba priima tą bandymą. Rinkėjas užrašo atvykimo laiką, kai gauna tarpinės pranešimą. Tai trys įvykiai, ir kiekvienas pažymėtas laikrodžio, kuriuo pasitikėjo jį rašęs komponentas. Jų suplakimas į vieną laiko juostą yra patogumas, kuris paslepia neatitikimą, kurį bandote paaiškinti.

Skaičiai paprastai skiriasi nuo sekundžių iki minučių, ir tai normalu. Svarbu tai, ar skirtumas yra pristatymo vėlavimas, laikrodžio poslinkis, ar tikrai kitas įvykis. Norint nuspręsti, į ką žiūrite, reikia kiekvieno lauko kilmės, o ne tvirtesnės nuomonės apie tai, kuri mašina teisi.

Pirmiau skaitykite šaltinį, paskui reikšmę

Prieš lygindami reikšmes, nustatykite, kas kiekvieną jų sukūrė ir kuris tai laukas. syslog pranešimas neša laiko žymę iš šaltinio, kaip aprašo RFC 5424, ir formatas taip pat gali nešti laiko kokybės informaciją, apibūdinančią sinchronizavimą ir tikslumą. Ta pati forma leidžia šaltiniui visiškai nesiųsti laiko žymės, kai jis negali nuskaityti sistemos laiko, ir tai savaime yra naudingas signalas.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klientas taip pat gali siųsti laiko reikšmę kaip programos metaduomenis, ir ją sauganti paslauga turėtų žymėti ją kaip kliento praneštą, o ne traktuoti kaip nepriklausomai patikrintą. Tas žymėjimas yra skirtumas tarp įrodymo ir teiginio. Eksportuodami žurnalus bylai, laikykite kartu lauko pavadinimą, kilmę ir poslinkį. Jų redukavimas iki patogaus vietinio laiko sunaikina būtent tą informaciją, kurios jums reikia.

Sustokite, jei negalite pasakyti, kuris komponentas užrašė lauką. Jo lyginimas su kuo nors kitu yra spėjimas.

Laiko juostos rodymas nėra kitas momentas

Tas pats momentas, rodomas kaip 10:00Z ir kaip 18:00+08:00, nėra neatitikimas, ir jo traktavimas tokiu praranda pusę dienos. Prieš lygindami konvertuokite abu į UTC ir laikykite originalų tekstą šalia konversijos. Dešimtainė trupmena vienoje pusėje ir ištisos sekundės kitoje taip pat nėra konfliktas. Tikslumas nėra teisingumas: reikšmė su milisekundėmis vis tiek gali ateiti iš laikrodžio, kuris klysta minutėmis.

date -u +%FT%TZ
timedatectl

Pristatymo vėlavimas yra kitas įprastas paaiškinimas. Tarpinė registruoja, kada priėmė ryšį, o rinkėjas registruoja, kada pranešimas pasiekė jį, taigi tarpas tarp jų yra perdavimo laikas. Tas tarpas pasako ką nors apie žurnalų grandinę, o ne apie VPN sesiją. Pažymėkite jį kaip atvykimo laiką, ir jis nustos konkuruoti su įvykio laiku.

Koreliuokite neperrašydami įrodymų

Išsaugokite originalias laiko žymes ir pridėkite išvestinį stulpelį, jei jums reikia bendro vaizdo. Paaiškinkite konversiją pastabose, o ne redaguokite šaltinio įrašus, nes šaltinis yra tai, ką patikrins vėlesnis peržiūrėtojas. Rinkėjo atvykimo laiką saugokite atskirai, kur jis bebūtų.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Įrenginio laikrodžio keitimas nėra privatumo kontrolė ir neperrašo įrašų, kuriuos kita sistema jau turi. Tai taip pat apsunkina palaikymo įrodymų palyginimą ir gali sugadinti nuo laiko priklausančius sertifikatų ir kodo patikrinimus. Laikykite laikrodžius sinchronizuotus įprastam darbui, o bet kokį tyčinį nukrypimą traktuokite kaip tiriamą gedimą. Jei du įrašai atrodo ne eilės tvarka, pažiūrėkite į laikrodžio sinchronizavimą ir pristatymą prieš kurdami naują istoriją.

Mitas, kurio reikia atsisakyti, yra tai, kad egzistuoja vienas VPN laikas. Paklauskite, kas užrašė kiekvieną lauką ir kas įvyko, kai jis tai padarė, ir laiko juosta tampa pažymėtų stebėjimų rinkiniu, o ne prieštaravimu.