Tatlong orasan sa isang log ng VPN: kliyente, gateway, tagakolekta

Ang timeline ng isang insidente sa VPN ay karaniwang nagsisimula sa dalawang tatak ng oras na nagkakaiba ng ilang minuto at sa isang display na nagpapakita ng ibang oras. Ang tukso ay piliin ang isa bilang tama at isulat muli ang isa. Puwedeng tama ang dalawa, dahil magkaibang orasan ang sumulat sa kanila tungkol sa magkaibang pangyayari. Ang mito ay may isang orasan ang VPN; ang gawain ay alamin kung aling bahagi ang sumulat sa bawat field.

Ang mito: isang orasan lang ang VPN

Nagsusulat ng pangyayari ang kliyente kapag sinubukan ang isang koneksyon. Nagsusulat ng pangyayari ang gateway kapag natanggap o tinanggap nito ang pagtatangkang iyon. Nagsusulat ng oras ng pagdating ang tagakolekta kapag natanggap nito ang mensahe ng gateway. Tatlong pangyayari ito, at bawat isa ay may tatak ng oras na pinagkatiwalaan ng bahaging nagsusulat. Ang pagsiksik sa kanila sa isang timeline ay isang kaginhawahan na nagtatago ng pagkakaibang sinusubukan mong ipaliwanag.

Karaniwang nagkakaiba ang mga numero mula segundo hanggang minuto, at normal iyon. Ang mahalaga ay kung ang pagkakaiba ay pagkaantala sa paghahatid, paglihis ng orasan o tunay na ibang pangyayari. Upang magpasya kung ano ang tinitingnan mo, kailangan ang pinagmulan ng bawat field, hindi isang mas matibay na opinyon kung aling makina ang tama.

Basahin ang pinagmulan bago ang halaga

Bago ihambing ang mga halaga, tukuyin kung sino ang gumawa ng bawat isa at kung aling field iyon. Ang mensaheng syslog ay may tatak ng oras mula sa pinagmulan, gaya ng inilalarawan ng RFC 5424, at ang format ay maaari ring magdala ng impormasyon tungkol sa kalidad ng oras na naglalarawan ng sinkronisasyon at katumpakan. Pinapayagan ng parehong format ang pinagmulan na huwag magpadala ng anumang tatak ng oras kapag hindi nito mabasa ang oras ng system, na mismong isang kapaki-pakinabang na senyales.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

Maaari ring magpadala ang kliyente ng halaga ng oras bilang metadata ng aplikasyon, at dapat itong lagyan ng tatak ng serbisyong nag-iimbak bilang iniulat ng kliyente sa halip na ituring na independiyenteng na-verify. Ang tatak na iyon ang pagkakaiba ng ebidensya at pag-aangkin. Kapag nag-e-export ng mga log para sa isang kaso, panatilihing magkasama ang pangalan ng field, pinagmulan at paglihis. Ang pagbawas sa kanila sa isang maginhawang lokal na oras ay sumisira sa impormasyong kailangan mo.

Huminto kung hindi mo masabi kung aling bahagi ang sumulat ng isang field. Ang paghahambing nito sa anumang iba ay hulaan.

Ang pagpapakita ng time zone ay hindi ibang sandali

Ang parehong sandali na ipinakita bilang 10:00Z at bilang 18:00+08:00 ay hindi pagkakaiba, at ang pagtrato dito bilang isa ay nag-aaksaya ng kalahating araw. I-convert ang dalawa sa UTC bago ihambing, at panatilihin ang orihinal na teksto sa tabi ng conversion. Ang desimal na praksyon sa isang panig at buong segundo sa kabilang panig ay hindi rin salungatan. Ang katumpakan ay hindi kawastuhan: ang halagang may millisecond ay maaari pa ring magmula sa orasang mali ng ilang minuto.

date -u +%FT%TZ
timedatectl

Ang pagkaantala sa paghahatid ang isa pang karaniwang paliwanag. Itinatala ng gateway kung kailan nito tinanggap ang koneksyon, at itinatala ng tagakolekta kung kailan dumating ang mensahe, kaya ang agwat sa pagitan nila ay oras ng transportasyon. Ang agwat na iyon ay may sinasabi tungkol sa pipeline ng log, hindi tungkol sa sesyon ng VPN. Lagyan ito ng tatak na oras ng pagdating at hihinto ito sa pakikipagkumpitensya sa oras ng pangyayari.

I-ugnay nang hindi isinusulat muli ang ebidensya

Panatilihin ang orihinal na mga tatak ng oras at magdagdag ng hinangong column kung kailangan mo ng karaniwang tanawin. Ipaliwanag ang conversion sa mga tala sa halip na i-edit ang mga rekord ng pinagmulan, dahil ang pinagmulan ang titingnan ng susunod na tagasuri. Panatilihing hiwalay ang oras ng pagdating ng tagakolekta saanman ito umiiral.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Ang pagbabago ng orasan ng device ay hindi kontrol sa privacy at hindi nagsusulat muli ng mga rekord na hawak na ng ibang sistema. Ginagawa rin nitong mas mahirap ihambing ang ebidensya ng suporta, at maaari nitong sirain ang mga pagsusuri ng sertipiko at code na umaasa sa oras. Panatilihing naka-sync ang mga orasan para sa normal na operasyon, at ituring ang anumang sinadyang paglihis bilang depektong dapat imbestigahan. Kung ang dalawang rekord ay mukhang wala sa pagkakasunod-sunod, tingnan ang sync ng orasan at paghahatid bago bumuo ng bagong kasaysayan.

Ang mitong dapat iwanan ay may isang oras ng VPN. Itanong kung ano ang isinulat ng bawat field at ano ang nangyari nang gawin ito, at ang timeline ay magiging isang hanay ng may label na obserbasyon sa halip na isang kontradiksyon.