Tri hodiny v jednom logu VPN: klient, brána, zberač

Časová os incidentu VPN sa zvyčajne začína dvoma časovými značkami, ktoré sa líšia o niekoľko minút, a displejom, ktorý ukazuje inú hodinu. Pokušenie je vybrať jednu ako správnu a druhú prepísať. Obe môžu byť správne, pretože ich zapísali rôzne hodiny o rôznych udalostiach. Mýtus je, že VPN má jedny hodiny; práca spočíva v zistení, ktorá komponenta zapísala každé pole.

Mýtus: VPN má jedny hodiny

Klient zapíše udalosť, keď sa pokúsi o pripojenie. Brána zapíše udalosť, keď tento pokus prijme alebo akceptuje. Zberač zapíše čas príchodu, keď prijme správu brány. To sú tri udalosti a každú orazítkovali tie hodiny, ktorým zapisujúca komponenta dôverovala. Zhrnúť ich do jednej časovej osi je pohodlie, ktoré skrýva nesúlad, ktorý sa snažíte vysvetliť.

Čísla sa zvyčajne líšia o sekundy až minúty, a to je normálne. Dôležité je, či je rozdiel oneskorenie doručenia, posun hodín alebo skutočne iná udalosť. Rozhodnúť, na čo sa pozeráte, vyžaduje pôvod každého poľa, nie silnejší názor na to, ktorý stroj má pravdu.

Čítajte pôvodcu skôr ako hodnotu

Pred porovnaním hodnôt určite, kto každú vytvoril a o ktoré pole ide. Správa syslog nesie časovú značku od pôvodcu, ako opisuje RFC 5424, a formát môže niesť aj informácie o kvalite času opisujúce synchronizáciu a presnosť. Rovnaký formát umožňuje pôvodcovi neposlať žiadnu časovú značku, keď nedokáže prečítať systémový čas, čo je samo o sebe užitočný signál.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Klient môže poslať aj hodnotu času ako metadáta aplikácie a služba, ktorá ju ukladá, by ju mala označiť ako hlásenú klientom, namiesto toho, aby ju považovala za nezávisle overenú. Toto označenie je rozdiel medzi dôkazom a tvrdením. Keď exportujete logy pre prípad, držte spolu názov poľa, pôvod a posun. Zviesť ich na pohodlný miestny čas ničí práve tú informáciu, ktorú potrebujete.

Zastavte sa, ak neviete povedať, ktorá komponenta pole zapísala. Porovnávať ho s čímkoľvek iným je hádanie.

Zobrazenie časového pásma nie je iný okamih

Rovnaký okamih zobrazený ako 10:00Z a ako 18:00+08:00 nie je nesúlad a považovať ho zaň znamená stratiť pol dňa. Pred porovnaním preveďte oba na UTC a pôvodný text si ponechajte vedľa prevodu. Desatinný zlomok na jednej strane a celé sekundy na druhej tiež nie sú konflikt. Presnosť nie je správnosť: hodnota s milisekundami môže stále pochádzať z hodín, ktoré sa mýlia o minúty.

date -u +%FT%TZ
timedatectl

Oneskorenie doručenia je ďalšie obvyklé vysvetlenie. Brána zaznamená, kedy pripojenie prijala, a zberač zaznamená, kedy k nemu správa dorazila, takže medzera medzi nimi je čas prenosu. Tá medzera vypovedá o logovacom kanáli, nie o relácii VPN. Označte ju ako čas príchodu a prestane súťažiť s časom udalosti.

Korelujte bez prepisovania dôkazov

Zachovajte pôvodné časové značky a ak potrebujete spoločný pohľad, pridajte odvodený stĺpec. Vysvetlite prevod v poznámkach, namiesto toho, aby ste upravovali zdrojové záznamy, pretože zdroj je to, čo skontroluje neskorší recenzent. Čas príchodu zberača uchovajte oddelene, kdekoľvek existuje.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Zmena hodín zariadenia nie je nástroj súkromia a neprepisuje záznamy, ktoré už drží iný systém. Tiež sťažuje porovnávanie podporných dôkazov a môže pokaziť kontroly certifikátov a kódu, ktoré závisia od času. Pre bežnú prevádzku udržujte hodiny synchronizované a každé úmyselné vychýlenie berte ako poruchu na vyšetrenie. Ak dva záznamy vyzerajú mimo poradia, pozrite sa na synchronizáciu hodín a doručenie, skôr než zostavíte novú históriu.

Mýtus, ktorý treba opustiť, je, že existuje jeden čas VPN. Pýtajte sa, čo každé pole zapísalo a čo sa stalo, keď to urobilo, a časová os sa stane súborom označených pozorovaní namiesto rozporu.