Три сата у једном VPN дневнику: клијент, пролаз, сакупљач

Временска линија VPN инцидента обично почиње са две временске ознаке које се разликују неколико минута и са приказом који показује други сат. Искушење је изабрати једну као тачну и преписати другу. Обе могу бити тачне, јер су их написали различити сатови о различитим догађајима. Мит је да VPN има један сат; посао је открити која је компонента написала свако поље.

Мит: VPN има један сат

Клијент записује догађај када покуша везу. Пролаз записује догађај када прими или прихвати тај покушај. Сакупљач записује време доласка када прими поруку пролаза. То су три догађаја, а сваки је означен сатом коме је веровала компонента која пише. Сажети их у једну временску линију је погодност која скрива неслагање које покушавате да објасните.

Бројеви се обично разликују од секунди до минута и то је нормално. Важно је да ли је разлика кашњење доставе, помак сата или стварно други догађај. Да бисте одлучили шта гледате, потребно је порекло сваког поља, а не јаче мишљење о томе која је машина у праву.

Прочитајте извор пре вредности

Пре поређења вредности утврдите ко је сваку произвео и које је то поље. Syslog порука носи временску ознаку извора, како описује RFC 5424, а формат може носити и податке о квалитету времена који описују синхронизацију и тачност. Исти формат дозвољава извору да не пошаље никакву временску ознаку када не може да прочита системско време, што је само по себи користан сигнал.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Клијент може послати и вредност времена као метаподатке апликације, а сервис који је чува требало би да је означи као вредност коју је пријавио клијент, уместо да је третира као независно проверену. Та ознака је разлика између доказа и тврдње. Када извозите дневнике за случај, држите заједно назив поља, извор и помак. Свођење на удобно локално време уништава управо ону информацију која вам је потребна.

Зауставите се ако не можете да кажете која је компонента написала поље. Поређење са било чим другим је нагађање.

Приказ временске зоне није други тренутак

Исти тренутак приказан као 10:00Z и као 18:00+08:00 није неслагање, а третирати га тако губи пола дана. Пре поређења претворите оба у UTC и држите изворни текст уз претварање. Децимални разломак са једне стране и цели секунди са друге такође нису сукоб. Прецизност није тачност: вредност са милисекундама ипак може доћи са сата који греши неколико минута.

date -u +%FT%TZ
timedatectl

Кашњење доставе је друго уобичајено објашњење. Пролаз бележи када је прихватио везу, а сакупљач бележи када је порука стигла до њега, па је размак између њих време преноса. Тај размак говори о цевоводу дневника, а не о VPN сесији. Означите га као време доласка и оно престаје да се такмичи са временом догађаја.

Повежите без преписивања доказа

Задржите изворне временске ознаке и додајте изведену колону ако вам је потребан заједнички приказ. Објасните претварање у белешкама уместо да уређујете изворне записе, јер извор је оно што ће каснији прегледач проверити. Сачувајте време доласка сакупљача одвојено где год постоји.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Промена сата уређаја није контрола приватности и не преписује записе које други систем већ чува. Она и доказе подршке чини тежима за поређење и може покварити провере сертификата и кода које зависе од времена. Држите сатове синхронизованима за уобичајен рад и сваки намерни помак третирајте као квар који треба истражити. Ако два записа изгледају изван редоследа, погледајте синхронизацију сата и доставу пре него што саставите нову историју.

Мит који треба напустити је да постоји једно VPN време. Питајте шта је написало које поље и шта се догодило када је то учинило, па временска линија постаје скуп означених запажања, а не противречност.