Tiga jam dalam satu log VPN: klien, gerbang, pengumpul

Garis masa insiden VPN biasanya bermula dengan dua cap masa yang berbeza beberapa minit dan paparan yang menunjukkan jam berbeza. Godaan ialah memilih satu sebagai betul dan menulis semula yang lain. Kedua-duanya boleh betul, kerana jam berbeza menulisnya tentang peristiwa berbeza. Mitonya ialah VPN mempunyai satu jam; kerjanya ialah mengetahui komponen mana yang menulis setiap medan.

Mitos: VPN mempunyai satu jam

Klien menulis peristiwa apabila cuba sambungan. Gerbang menulis peristiwa apabila menerima atau menyetujui percubaan itu. Pengumpul menulis masa ketibaan apabila menerima mesej gerbang. Itu tiga peristiwa, dan setiap satu dicap oleh jam yang dipercayai komponen yang menulisnya. Merangkumkannya menjadi satu garis masa ialah kemudahan yang menyembunyikan ketidakseragaman yang cuba anda jelaskan.

Nombornya biasanya berbeza dari saat hingga minit, dan itu normal. Yang penting ialah sama ada perbezaan itu kelewatan penghantaran, sisihan jam atau peristiwa yang benar-benar berbeza. Untuk memutuskan apa yang anda lihat memerlukan asal setiap medan, bukan pendapat yang lebih kuat tentang mesin mana yang betul.

Baca asal usul sebelum nilai

Sebelum membandingkan nilai, kenal pasti siapa yang menghasilkan setiap satu dan medan apa itu. Mesej syslog membawa cap masa daripada asal usul, seperti yang diterangkan RFC 5424, dan formatnya juga boleh membawa maklumat kualiti masa yang menerangkan penyegerakan dan ketepatan. Format yang sama membolehkan asal usul tidak menghantar sebarang cap masa apabila tidak dapat membaca masa sistem, dan itu sendiri isyarat yang berguna.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klien juga boleh menghantar nilai masa sebagai metadata aplikasi, dan perkhidmatan yang menyimpannya harus melabelnya sebagai dilaporkan klien dan bukannya menganggapnya disahkan secara bebas. Label itu ialah perbezaan antara bukti dan dakwaan. Apabila mengeksport log untuk sesuatu kes, simpan nama medan, asal usul dan sisihan bersama-sama. Mengurangkannya kepada waktu tempatan yang mudah memusnahkan maklumat yang anda perlukan.

Berhenti jika anda tidak dapat menyatakan komponen mana yang menulis sesuatu medan. Membandingkannya dengan apa-apa lain ialah tekaan.

Paparan zon waktu bukanlah saat yang berbeza

Saat yang sama dipaparkan sebagai 10:00Z dan sebagai 18:00+08:00 bukanlah percanggahan, dan menganggapnya begitu membuang separuh hari. Tukar kedua-duanya kepada UTC sebelum membandingkan, dan simpan teks asal di sebelah penukaran. Pecahan perpuluhan di satu pihak dan saat bulat di pihak lain juga bukan konflik. Ketepatan bukanlah kebenaran: nilai dengan milisaat masih boleh datang daripada jam yang tersasar beberapa minit.

date -u +%FT%TZ
timedatectl

Kelewatan penghantaran ialah penjelasan biasa yang lain. Gerbang merekod bila ia menerima sambungan, dan pengumpul merekod bila mesej sampai kepadanya, jadi jurang antara keduanya ialah masa pengangkutan. Jurang itu mengatakan sesuatu tentang saluran log, bukan tentang sesi VPN. Labelkannya sebagai masa ketibaan dan ia berhenti bersaing dengan masa peristiwa.

Kaitkan tanpa menulis semula bukti

Kekalkan cap masa asal dan tambah lajur terbitan jika anda memerlukan pandangan bersama. Jelaskan penukaran dalam nota dan bukannya menyunting rekod sumber, kerana sumber itulah yang akan diperiksa oleh penyemak kemudian. Pelihara masa ketibaan pengumpul secara berasingan di mana-mana ia wujud.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Menukar jam peranti bukan kawalan privasi dan tidak menulis semula rekod yang sudah dipegang sistem lain. Ia juga menjadikan bukti sokongan lebih sukar dibandingkan, dan boleh merosakkan pemeriksaan sijil dan kod yang bergantung pada masa. Kekalkan jam disegerakkan untuk operasi biasa, dan anggap sebarang sisihan yang disengajakan sebagai kerosakan yang perlu disiasat. Jika dua rekod itu kelihatan tidak mengikut urutan, lihat penyegerakan jam dan penghantaran sebelum membina sejarah baharu.

Mitos yang perlu ditinggalkan ialah wujudnya satu masa VPN. Tanya apa yang menulis setiap medan dan apa yang berlaku apabila ia berbuat demikian, dan garis masa menjadi satu set pemerhatian berlabel dan bukannya percanggahan.