Trīs pulksteņi vienā VPN žurnālā: klients, vārteja, vācējs

VPN incidenta laika josla parasti sākas ar divām laika zīmēm, kas atšķiras par dažām minūtēm, un ar displeju, kas rāda citu stundu. Kārdinājums ir izvēlēties vienu kā pareizu un pārrakstīt otru. Abas var būt pareizas, jo tās pierakstījuši dažādi pulksteņi par dažādiem notikumiem. Mīts ir tāds, ka VPN ir viens pulkstenis; darbs ir noskaidrot, kura komponente pierakstīja katru lauku.

Mīts: VPN ir viens pulkstenis

Klients pieraksta notikumu, kad mēģina izveidot savienojumu. Vārteja pieraksta notikumu, kad saņem vai pieņem šo mēģinājumu. Vācējs pieraksta ierašanās laiku, kad saņem vārtejas ziņojumu. Tie ir trīs notikumi, un katru apzīmogo pulkstenis, kuram uzticējās rakstošā komponente. To saspiest vienā laika joslā ir ērtība, kas slēpj neatbilstību, kuru mēģināt izskaidrot.

Skaitļi parasti atšķiras no sekundēm līdz minūtēm, un tas ir normāli. Svarīgi ir tas, vai atšķirība ir piegādes aizkave, pulksteņa nobīde vai patiešām cits notikums. Lai izlemtu, uz ko skatāties, vajadzīga katra lauka izcelsme, nevis stingrāks viedoklis par to, kura mašīna ir pareiza.

Vispirms lasiet izcelsmi, pēc tam vērtību

Pirms vērtību salīdzināšanas nosakiet, kas katru no tām radīja un kurš tas lauks ir. syslog ziņojums nes laika zīmi no izcelsmes, kā apraksta RFC 5424, un formāts var nest arī laika kvalitātes informāciju, kas apraksta sinhronizāciju un precizitāti. Tas pats formāts ļauj izcelsmei vispār nenosūtīt laika zīmi, ja tā nevar nolasīt sistēmas laiku, un tas pats par sevi ir noderīgs signāls.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klients var arī nosūtīt laika vērtību kā lietotnes metadatus, un pakalpojumam, kas to glabā, tā jāmarķē kā klienta ziņota, nevis jāuzskata par neatkarīgi pārbaudītu. Šis marķējums ir atšķirība starp pierādījumu un apgalvojumu. Eksportējot žurnālus lietai, turiet kopā lauka nosaukumu, izcelsmi un nobīdi. To reducēšana līdz ērtam vietējam laikam iznīcina tieši to informāciju, kas jums nepieciešama.

Apstājieties, ja nevarat pateikt, kura komponente pierakstīja lauku. Tā salīdzināšana ar kaut ko citu ir minējums.

Laika joslas attēlojums nav cits mirklis

Tas pats mirklis, attēlots kā 10:00Z un kā 18:00+08:00, nav neatbilstība, un tā uztveršana par tādu zaudē pusi dienas. Pirms salīdzināšanas pārveidojiet abus uz UTC un turiet oriģinālo tekstu blakus pārveidei. Decimāldaļa vienā pusē un veselas sekundes otrā arī nav konflikts. Precizitāte nav pareizība: vērtība ar milisekundēm joprojām var nākt no pulksteņa, kas kļūdās par minūtēm.

date -u +%FT%TZ
timedatectl

Piegādes aizkave ir otrs parastais skaidrojums. Vārteja reģistrē, kad pieņēma savienojumu, un vācējs reģistrē, kad ziņojums tam nonāca, tāpēc starpība starp tiem ir pārvades laiks. Šī starpība vēsta par žurnālu plūsmu, nevis par VPN sesiju. Atzīmējiet to kā ierašanās laiku, un tā pārstās konkurēt ar notikuma laiku.

Korelējiet, nepārrakstot pierādījumus

Saglabājiet oriģinālās laika zīmes un pievienojiet atvasinātu kolonnu, ja jums vajadzīgs kopīgs skats. Paskaidrojiet pārveidi piezīmēs, nevis rediģējiet avota ierakstus, jo avots ir tas, ko pārbaudīs vēlāks pārskatītājs. Vācēja ierašanās laiku glabājiet atsevišķi, kur vien tas pastāv.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Ierīces pulksteņa maiņa nav privātuma kontrole un nepārraksta ierakstus, kas citai sistēmai jau ir. Tā arī apgrūtina atbalsta pierādījumu salīdzināšanu un var salauzt no laika atkarīgās sertifikātu un koda pārbaudes. Turiet pulksteņus sinhronizētus parastai darbībai, un jebkuru tīšu novirzi uzskatiet par izmeklējamu defektu. Ja divi ieraksti šķiet ārpus secības, pirms jaunas vēstures veidošanas apskatiet pulksteņa sinhronizāciju un piegādi.

Mīts, no kā jāatsakās, ir tas, ka pastāv viens VPN laiks. Jautājiet, kas pierakstīja katru lauku un kas notika, kad tas to izdarīja, un laika josla kļūst par marķētu novērojumu kopumu, nevis pretrunu.