Waarom ’n VPN nie die horlosie van ’n domeingeslote skootrekenaar regstel nie

’n Werker op afstand maak die VPN aan, die tonnel kom op, en aanmeldings begin misluk met ’n verifikasiefout wat die tyd noem. Niks aan die tonnel is stukkend nie. ’n VPN dra pakkette tussen netwerke; dit gee nie twee masjiene ’n gemeenskaplike horlosie nie, en domeinverifikasie, sertifikaatvalidering en ouditkorrelasie hang almal van horlosies af wat naby genoeg ooreenstem. Drie besluite volg: wie besit tyd in die domein, wat die toestel werklik gebruik, en wat gebeur terwyl die toestel rondswerf.

’n Roete is nie ’n horlosie nie

Kerberos-verifikasie sluit tydgevoelige data in en verwerp versoeke wat buite ’n gekonfigureerde toleransie val, wat by verstek vyf minute in Windows-domeine is. Sertifikate dra geldigheidsintervalle, so ’n toestel wie se horlosie ver genoeg voor is, behandel ’n geldige sertifikaat as nog nie geldig nie. Ouditrekenaars van verskeie masjiene korreleer net as hul horlosies naby genoeg is, en dit maak saak die eerste keer wanneer ’n insidentondersoek vra wat eerste gebeur het.

Daardie drie afhanklikhede is onafhanklik van die tonnel. Om ’n VPN op te bring verander bereikbaarheid, en bereikbaarheid is wat ’n toestel in staat stel om ’n tydbron te vind; dit is nie die bron nie.

Hou die vertoonde tydsone apart van die horlosie self. Twee skootrekenaars wat verskillende plaaslike ure wys, kan volkome gesinchroniseer wees, en twee wat dieselfde uur wys, kan minute verskil as hul tydsone-instellings verskil. Om die tydsone te verander is nie ’n herstel vir ’n verkeerde horlosie nie, en om ’n datum terug te skuif om ’n vervalde sertifikaat te laat werk, breek elke ander tydafhanklike kontrole op die masjien.

Bepaal wie tyd in die domein besit

Domeingeslote Windows-lede volg gewoonlik die Active Directory-tydhierargie eerder as om elke keer ’n publieke bediener te vra. Daardie ketting eindig by die PDC-emulator van die woudwortel, wie se verwysing die organisasie se gesaghebbende bron is.

Twee voorwaardes bepaal die verwysing: of beleid ’n eksterne tyddiens toelaat, en of die netwerk ’n goedgekeurde interne bron betroubaar van elke perseel kan bereik. As albei onduidelik is, is die praktiese antwoord om die hierargie ongeskonde te hou en bereikbaarheid reg te maak eerder as om kliënte na ’n publieke poel te wys. ’n Derde voorwaarde bepaal die foutpad: wat die toestel moet doen wanneer nie een van die bronne bereikbaar is nie. Om dit vooraf te besleg, vermy die geïmproviseerde oplossing om ’n publieke bediener op een skootrekenaar vas te pen.

Daardie keuse hoort by die domein- en tydadministrateurs, nie by die ontwerp van afstandtoegang nie. ’n Skootrekenaar wat homself as ’n betroubare tydowerheid instel, is ’n ander argitektuur, en dit is selde die een wat die sekuriteitshersiening goedgekeur het.

Lees wat die toestel werklik gebruik

Twee lees-alleen-opdragte dokumenteer die huidige toestand op ’n bestuurde Windows-toestel, en dit is die moeite werd om hulle voor en na ’n verandering vas te vang:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Teken die gekose bron, die laaste suksesvolle sinchronisasie en die stratum of verwysingsidentifiseerder aan langs die toestel se bestuursbeleid. Een suksesvolle handmatige sinchronisasie bewys dat die opdrag werk, nie dat die beleid ’n herstart of ’n rolverandering oorleef nie.

As die bron die plaaslike CMOS-horlosie wys, sinchroniseer die toestel glad nie, wat gewoonlik beteken die domeinbeheerder was by die opstart onbereikbaar of die tyddiens is deur beleid gedeaktiveer. As dit ’n publieke bediener wys, wen iets buite die domeinhierargie, en dit is ’n beleidsvraag eerder as ’n netwerkvraag.

Bepaal wat gebeur terwyl daar rondgeswerf word

Terwyl die toestel ontkoppel is, maak dit staat op sy plaaslike horlosie en enige tydverskaffers wat hy kan bereik. Skootrekenaars dryf, en ’n toestel wat weke lank vanlyn was, kan ver genoeg verkeerd wees om die eerste Kerberos-versoek ná herverbinding te laat misluk.

By herverbinding het die toestel domeinontdekking en die beoogde tyddienspad nodig, nie net ’n roete na ’n lêerdeling nie. Toets dit deur buite die netwerk te herstart, die VPN te koppel en die bron weer te lees eerder as om te aanvaar die hierargie het homself herstel.

Virtuele masjiene voeg nog ’n verskaffer by. Hypervisor-tydintegrasie is in baie ontwerpe ’n wettige bron, maar sy rol moet doelbewus gekies en met domeinbeleid gekoördineer word. Twee verskaffers wat verskil, lewer ’n horlosie wat stabiel lyk en verkeerd is.

Hou lidbeleid apart van die gesag

Gewone lidkonfigurasie en die gesaghebbende bediener se konfigurasie is verskillende probleme met verskillende veranderingsbeheer. Om hulle te meng, is hoe ’n roetine-skootrekenaarbeleid uiteindelik die verwysing vir die hele woud verander.

Skryf die besluitrekord as vier reëls: die gesaghebbende bron, die hierargie wat dit dra, die rondswerfgedrag, en die opdrag wat die toestand op ’n toestel bewys. As die eerste drie gedokumenteer is en die vierde herhaalbaar is, word ’n tydverwante aanmeldingsfout ’n kontrole van vyf minute eerder as ’n jag deur VPN-logs.