Tri ure v enem dnevniku VPN: odjemalec, prehod, zbiralnik

Časovnica incidenta VPN se običajno začne z dvema časovnima žigoma, ki se razlikujeta za nekaj minut, in z zaslonom, ki kaže drugo uro. Skušnjava je izbrati enega kot pravilnega in prepisati drugega. Oba sta lahko pravilna, ker sta jih zapisali različni uri o različnih dogodkih. Mit je, da ima VPN eno uro; delo je ugotoviti, katera komponenta je zapisala vsako polje.

Mit: VPN ima eno uro

Odjemalec zapiše dogodek, ko poskusi povezavo. Prehod zapiše dogodek, ko ta poskus prejme ali sprejme. Zbiralnik zapiše čas prihoda, ko prejme sporočilo prehoda. To so trije dogodki in vsakega ožigosa tista ura, ki ji je zaupala komponenta, ki piše. Stisniti jih v eno časovnico je udobje, ki skrije nesklad, ki ga poskušate razložiti.

Številke se običajno razlikujejo od sekund do minut, in to je normalno. Pomembno je, ali je razlika zamuda pri dostavi, odmik ure ali resnično drug dogodek. Za odločitev, kaj gledate, potrebujete izvor vsakega polja, ne trdnejšega mnenja o tem, kateri stroj ima prav.

Preberite izvor pred vrednostjo

Preden primerjate vrednosti, ugotovite, kdo je vsako ustvaril in katero polje je to. Sporočilo syslog nosi časovni žig izvora, kot opisuje RFC 5424, in oblika lahko nosi tudi podatke o kakovosti časa, ki opisujejo sinhronizacijo in natančnost. Ista oblika izvoru omogoča, da ne pošlje nobenega časovnega žiga, kadar ne more prebrati sistemskega časa, kar je samo po sebi koristen signal.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Odjemalec lahko pošlje tudi vrednost časa kot metapodatke aplikacije, in storitev, ki jo shranjuje, bi jo morala označiti kot sporočeno s strani odjemalca, namesto da bi jo obravnavala kot neodvisno preverjeno. Ta oznaka je razlika med dokazom in trditvijo. Ko izvažate dnevnike za primer, imejte skupaj ime polja, izvor in odmik. Zvesti jih na priročen krajevni čas uniči prav tisto informacijo, ki jo potrebujete.

Ustavite se, če ne morete povedati, katera komponenta je zapisala polje. Primerjati ga s čimer koli drugim je ugibanje.

Prikaz časovnega pasu ni drug trenutek

Isti trenutek, prikazan kot 10:00Z in kot 18:00+08:00, ni nesklad, in obravnavanje kot takega izgubi pol dneva. Pred primerjavo pretvorite oba v UTC in izvirno besedilo imejte ob pretvorbi. Decimalni ulomek na eni strani in cele sekunde na drugi tudi niso konflikt. Natančnost ni pravilnost: vrednost z milisekundami lahko vseeno prihaja iz ure, ki se moti za minute.

date -u +%FT%TZ
timedatectl

Zamuda pri dostavi je druga običajna razlaga. Prehod zabeleži, kdaj je povezavo sprejel, zbiralnik pa zabeleži, kdaj je sporočilo prispelo do njega, zato je vrzel med njima čas prenosa. Ta vrzel pove nekaj o cevovodu dnevnikov, ne o seji VPN. Označite jo kot čas prihoda in neha tekmovati s časom dogodka.

Povežite, ne da bi prepisali dokaze

Ohranite izvirne časovne žige in dodajte izpeljan stolpec, če potrebujete skupen pogled. Razložite pretvorbo v opombah, namesto da bi urejali izvorne zapise, ker izvir je tisto, kar bo preveril poznejši pregledovalec. Čas prihoda zbiralnika ohranite ločeno, kjer koli obstaja.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Spreminjanje ure naprave ni nadzor zasebnosti in ne prepiše zapisov, ki jih druga sistema že hrani. Prav tako oteži primerjavo dokazov podpore in lahko pokvari preverjanja potrdil in kode, ki so odvisna od časa. Ure naj bodo sinhronizirane za običajno delovanje, vsak namerni odmik pa obravnavajte kot napako, ki jo je treba preiskati. Če sta zapisa videti izven vrstnega reda, poglejte sinhronizacijo ure in dostavo, preden sestavite novo zgodovino.

Mit, ki se mu je treba posloviti, je, da obstaja en sam čas VPN. Vprašajte, kaj je zapisalo vsako polje in kaj se je zgodilo, ko je to storilo, in časovnica postane nabor označenih opažanj namesto protislovja.