Tek bir VPN günlüğünde üç saat: istemci, ağ geçidi, toplayıcı

Bir VPN olayının zaman çizelgesi genellikle birkaç dakika farklı iki zaman damgası ve farklı bir saat gösteren bir ekranla başlar. Cazibe, birini doğru seçip diğerini yeniden yazmaktır. İkisi de doğru olabilir, çünkü farklı olaylar hakkında farklı saatler tarafından yazıldılar. Mit, bir VPN'in tek saati olduğudur; iş, hangi bileşenin hangi alanı yazdığını bulmaktır.

Mit: VPN'in tek saati var

İstemci bir bağlantı denediğinde olay yazar. Ağ geçidi bu denemeyi aldığında veya kabul ettiğinde olay yazar. Toplayıcı, ağ geçidinin mesajını aldığında bir varış zamanı yazar. Bunlar üç olaydır ve her biri yazan bileşenin güvendiği saatin damgasını taşır. Onları tek bir zaman çizelgesine sıkıştırmak, açıklamaya çalıştığınız uyuşmazlığı gizleyen bir kolaylıktır.

Sayılar genellikle saniyelerden dakikalara kadar farklıdır ve bu normaldir. Önemli olan, farkın teslimat gecikmesi mi, saat kayması mı yoksa gerçekten başka bir olay mı olduğudur. Neye baktığınıza karar vermek, her alanın kaynağını gerektirir, hangi makinenin haklı olduğuna dair daha güçlü bir görüşü değil.

Değerden önce kaynağı okuyun

Değerleri karşılaştırmadan önce her birini kimin ürettiğini ve hangi alan olduğunu belirleyin. syslog mesajı kaynaktan bir zaman damgası taşır, RFC 5424 belirttiği gibi, ve biçim eşitleme ile doğruluğu tanımlayan zaman kalitesi bilgilerini de taşıyabilir. Aynı biçim, kaynağın sistem saatini okuyamadığında hiç zaman damgası göndermemesine izin verir; bu da kendi başına yararlı bir sinyaldir.

journalctl -o short-iso --utc -n 20
logger -t vpn-check "test event"

İstemci bir zaman değerini uygulama üst verisi olarak da gönderebilir ve onu saklayan hizmet, bağımsız olarak doğrulanmış saymak yerine istemci tarafından bildirildi diye etiketlemelidir. Bu etiket, kanıt ile iddia arasındaki farktır. Bir dava için günlükleri dışa aktarırken alan adını, kaynağı ve kaymayı bir arada tutun. Onları rahat bir yerel saate indirgemek tam da ihtiyacınız olan bilgiyi yok eder.

Bir alanı hangi bileşenin yazdığını söyleyemiyorsanız durun. Onu başka bir şeyle karşılaştırmak tahmindir.

Saat dilimi görünümü farklı bir an değildir

Aynı anın 10:00Z ve 18:00+08:00 olarak gösterilmesi bir tutarsızlık değildir ve onu öyle görmek yarım gün kaybettirir. Karşılaştırmadan önce ikisini de UTC'ye çevirin ve özgün metni dönüşümün yanında tutun. Bir tarafta ondalık kesir, diğerinde tam saniyeler olması da bir çelişki değildir. Kesinlik doğruluk değildir: milisaniyeli bir değer yine de dakikalarca yanlış olan bir saatten gelebilir.

date -u +%FT%TZ
timedatectl

Teslimat gecikmesi diğer olağan açıklamadır. Ağ geçidi bağlantıyı ne zaman kabul ettiğini, toplayıcı ise mesajın kendisine ne zaman ulaştığını kaydeder, bu yüzden aralarındaki boşluk taşıma süresidir. Bu boşluk günlük hattı hakkında bir şey söyler, VPN oturumu hakkında değil. Onu varış zamanı olarak etiketleyin ve olay zamanıyla rekabet etmeyi bırakır.

Kanıtları yeniden yazmadan ilişkilendirin

Özgün zaman damgalarını koruyun ve ortak bir görünüm gerekiyorsa türetilmiş bir sütun ekleyin. Dönüşümü notlarda açıklayın, kaynak kayıtları düzenlemek yerine, çünkü kaynak daha sonraki bir gözden geçirenin denetleyeceği şeydir. Toplayıcının varış zamanını var olduğu her yerde ayrı tutun.

chronyc tracking
journalctl --utc -u openvpn-client@work -n 50 --no-pager

Bir cihazın saatini değiştirmek bir gizlilik kontrolü değildir ve başka bir sistemin zaten tuttuğu kayıtları yeniden yazmaz. Ayrıca destek kanıtlarını karşılaştırmayı zorlaştırır ve zamana bağlı sertifika ile kod denetimlerini bozabilir. Saatleri normal işleyiş için eşitlenmiş tutun ve her kasıtlı sapmayı araştırılacak bir arıza olarak görün. İki kayıt sıra dışı görünüyorsa yeni bir tarihçe kurmadan önce saat eşitlemesine ve teslimata bakın.

Vazgeçilmesi gereken mit, tek bir VPN zamanı olduğudur. Her alanın ne yazdığını ve bunu yaptığında ne olduğunu sorun; zaman çizelgesi bir çelişki yerine etiketlenmiş gözlemler kümesi hâline gelir.