Tri sata u jednom VPN dnevniku: klijent, pristupnik, sakupljač

Vremenska linija VPN incidenta obično počinje s dvije vremenske oznake koje se razlikuju nekoliko minuta i s prikazom koji pokazuje drugi sat. Iskušenje je izabrati jednu kao ispravnu i prepisati drugu. Obje mogu biti ispravne, jer su ih napisali različiti satovi o različitim događajima. Mit je da VPN ima jedan sat; posao je otkriti koja je komponenta napisala svako polje.

Mit: VPN ima jedan sat

Klijent zapisuje događaj kada pokušava vezu. Pristupnik zapisuje događaj kada primi ili prihvati taj pokušaj. Sakupljač zapisuje vrijeme dolaska kada primi poruku pristupnika. To su tri događaja, a svaki je označen satom kojem je vjerovala komponenta koja piše. Stisnuti ih u jednu vremensku liniju pogodnost je koja skriva nesklad koji pokušavate objasniti.

Brojevi se obično razlikuju od sekundi do minuta i to je normalno. Važno je je li razlika kašnjenje dostave, pomak sata ili stvarno drugi događaj. Za odluku o tome što gledate treba podrijetlo svakog polja, a ne jače mišljenje o tome koji je stroj u pravu.

Pročitajte izvor prije vrijednosti

Prije uspoređivanja vrijednosti utvrdite tko je svaku proizveo i koje je to polje. Syslog poruka nosi vremensku oznaku izvora, kako opisuje RFC 5424, a format može nositi i podatke o kvaliteti vremena koji opisuju sinkronizaciju i točnost. Isti format dopušta izvoru da ne pošalje nikakvu vremensku oznaku kada ne može pročitati sistemsko vrijeme, što je samo po sebi koristan signal.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klijent može poslati vrijednost vremena i kao metapodatke aplikacije, a servis koji je pohranjuje trebao bi je označiti kao vrijednost koju je prijavio klijent umjesto da je tretira kao neovisno provjerenu. Ta oznaka razlika je između dokaza i tvrdnje. Kada izvozite dnevnike za slučaj, držite zajedno naziv polja, izvor i pomak. Svođenje na ugodno lokalno vrijeme uništava upravo onu informaciju koja vam treba.

Zaustavite se ako ne možete reći koja je komponenta napisala polje. Usporedba s bilo čim drugim je nagađanje.

Prikaz vremenske zone nije drugi trenutak

Isti trenutak prikazan kao 10:00Z i kao 18:00+08:00 nije nesklad, a tretirati ga tako gubi pola dana. Pretvorite oba u UTC prije usporedbe i držite izvorni tekst uz pretvorbu. Decimalni razlomak s jedne strane i cijele sekunde s druge također nisu sukob. Preciznost nije točnost: vrijednost s milisekundama može ipak doći sa sata koji griješi nekoliko minuta.

date -u +%FT%TZ
timedatectl

Kašnjenje dostave je drugo uobičajeno objašnjenje. Pristupnik bilježi kada je prihvatio vezu, a sakupljač bilježi kada je poruka stigla do njega, pa je razmak između njih vrijeme prijevoza. Taj razmak govori o cjevovodu dnevnika, a ne o VPN sesiji. Označite ga kao vrijeme dolaska i ono prestaje natjecati se s vremenom događaja.

Povežite bez prepisivanja dokaza

Zadržite izvorne vremenske oznake i dodajte izvedeni stupac ako vam treba zajednički pogled. Objasnite pretvorbu u bilješkama umjesto da uređujete izvorne zapise, jer izvor je ono što će kasniji pregledatelj provjeriti. Sačuvajte vrijeme dolaska sakupljača odvojeno gdje god postoji.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Promjena sata uređaja nije kontrola privatnosti i ne prepisuje zapise koje drugi sustav već čuva. Ona otežava i usporedbu dokaza podrške, i može pokvariti provjere certifikata i koda koje ovise o vremenu. Držite satove sinkroniziranima za uobičajen rad i svaki namjerni pomak tretirajte kao kvar koji treba istražiti. Ako dva zapisa izgledaju izvan redoslijeda, pogledajte sinkronizaciju sata i dostavu prije nego što sastavite novu povijest.

Mit koji treba napustiti jest da postoji jedno VPN vrijeme. Pitajte što je napisalo koje polje i što se dogodilo kada je to učinilo, pa vremenska linija postaje skup označenih opažanja, a ne proturječje.