Tre klokker i én VPN-logg: klient, gateway, innsamler

Tidslinjen for en VPN-hendelse begynner vanligvis med to tidsstempler som avviker med noen minutter, og en visning som viser en annen time. Fristelsen er å velge det ene som riktig og skrive om det andre. Begge kan være riktige, fordi de ble skrevet av forskjellige klokker om forskjellige hendelser. Myten er at en VPN har én klokke; arbeidet er å finne ut hvilken komponent som skrev hvert felt.

Myten: VPN-en har én klokke

En klient skriver en hendelse når den forsøker en tilkobling. En gateway skriver en hendelse når den mottar eller godtar forsøket. En innsamler skriver et ankomsttidspunkt når den mottar meldingen fra gatewayen. Det er tre hendelser, og hver av dem stemples av den klokken den skrivende komponenten stolte på. Å presse dem sammen til én tidslinje er en bekvemmelighet som skjuler uenigheten du prøver å forklare.

Tallene avviker vanligvis fra sekunder til minutter, og det er normalt. Det avgjørende er om forskjellen er leveringsforsinkelse, klokkeforskyvning eller en reelt annen hendelse. Å avgjøre hvilken du ser på krever opphavet til hvert felt, ikke en sterkere mening om hvilken maskin som har rett.

Les opphavet før verdien

Før du sammenligner verdier, må du fastslå hvem som produserte hver av dem og hvilket felt det er. En syslog-melding bærer et tidsstempel fra opphavet, slik RFC 5424 beskriver, og formatet kan også bære tidskvalitetsinformasjon som beskriver synkronisering og nøyaktighet. Samme format lar opphavet sende ingen tidsstempel i det hele tatt når det ikke kan lese systemtiden, noe som i seg selv er et nyttig signal.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

En klient kan også sende en tidsverdi som applikasjonsmetadata, og en tjeneste som lagrer den bør merke den som klientrapportert i stedet for å behandle den som uavhengig verifisert. Den merkingen er forskjellen mellom bevis og påstand. Når du eksporterer logger for en sak, hold feltnavnet, opphavet og forskyvningen sammen. Å redusere dem til en bekvem lokal tid ødelegger nettopp informasjonen du trenger.

Stopp hvis du ikke kan si hvilken komponent som skrev et felt. Å sammenligne det med noe annet er gjetting.

Visning av tidssone er ikke et annet øyeblikk

Det samme øyeblikket gjengitt som 10:00Z og som 18:00+08:00 er ikke et avvik, og å behandle det som ett kaster bort en ettermiddag. Konverter begge til UTC før du sammenligner, og behold originalteksten ved siden av konverteringen. En desimalbrøk på den ene siden og hele sekunder på den andre er heller ikke en konflikt. Presisjon er ikke nøyaktighet: en verdi med millisekunder kan fortsatt komme fra en klokke som er minutter feil.

date -u +%FT%TZ
timedatectl

Leveringsforsinkelse er den andre vanlige forklaringen. Gatewayen registrerer når den godtok tilkoblingen, og innsamleren registrerer når meldingen nådde den, så gapet mellom dem er transporttid. Det gapet sier noe om loggpipelinen, ikke om VPN-økten. Merk det som ankomsttid, og det slutter å konkurrere med hendelsestiden.

Korreler uten å skrive om bevisene

Behold de opprinnelige tidsstemplene og legg til en avledet kolonne hvis du trenger en felles visning. Forklar konverteringen i notatene i stedet for å redigere kildeoppføringene, fordi kilden er det en senere gjennomgang vil kontrollere. Bevar innsamlerens ankomsttid separat der den finnes.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Å endre klokken på en enhet er ikke en personvernkontroll og skriver ikke om oppføringer som et annet system allerede har. Det gjør også støttebevis vanskeligere å sammenligne, og det kan ødelegge sertifikat- og kodekontrollene som avhenger av tid. Hold klokkene synkroniserte for normal drift, og behandle enhver bevisst skjevhet som en feil som må undersøkes. Hvis de to oppføringene ser ut til å være ute av rekkefølge, se på klokkesynkronisering og levering før du bygger en ny historie.

Myten som må legges bort, er at det finnes én VPN-tid. Spør hva som skrev hvert felt og hva som skjedde da det gjorde det, og tidslinjen blir et sett merkede observasjoner i stedet for en motsetning.