Niyə VPN domenə qoşulmuş noutbukun saatını düzəltmir

Uzaqdan işləyən bir istifadəçi VPN-ə qoşulur, tunnel qalxır və girişlər vaxtı qeyd edən autentifikasiya xətası ilə uğursuz olmağa başlayır. Tunnelin özündə heç nə pozulmayıb. VPN şəbəkələr arasında paketlər daşıyır; o, iki maşına ortaq saat vermir və domen autentifikasiyası, sertifikat yoxlaması və audit əlaqələndirməsi hamısı kifayət qədər uyğun gələn saatlardan asılıdır. Bundan üç qərar çıxır: domen vaxtı kimə aiddir, cihaz əslində nədən istifadə edir və cihaz rouminqdə olarkən nə baş verir.

Marşrut saat deyil

Kerberos autentifikasiyası vaxta həssas məlumat ehtiva edir və konfiqurasiya edilmiş tolerantlıqdan kənara çıxan sorğuları rədd edir; bu, Windows domenlərində standart olaraq beş dəqiqədir. Sertifikatlar etibarlılıq intervalları daşıyır, buna görə saatı kifayət qədər irəli olan cihaz etibarlı sertifikatı hələ etibarlı deyil kimi qəbul edir. Bir neçə maşından gələn audit qeydləri yalnız saatları yaxın olduqda əlaqələndirilir və bu, insident araşdırmasının ilk dəfə nəyin əvvəl baş verdiyini soruşduğu anda vacib olur.

Bu üç asılılıq tunneldən asılı deyil. VPN-i qaldırmaq əlçatanlığı dəyişir və əlçatanlıq cihaza vaxt mənbəyi tapmağa imkan verən şeydir; mənbə özü deyil.

Göstərilən saat qurşağını saatın özündən ayrı saxlayın. Fərqli yerli saatlar göstərən iki noutbuk tam sinxron ola bilər və eyni saatı göstərən iki noutbuk saat qurşağı parametrləri fərqlidirsə dəqiqələrlə ziddiyyət təşkil edə bilər. Saat qurşağını dəyişmək səhv saatın təmiri deyil və vaxtı keçmiş sertifikatı işlək etmək üçün tarixi geri çəkmək maşındakı bütün digər vaxtdan asılı yoxlamaları pozur.

Domen vaxtının kimə aid olduğunu müəyyənləşdirin

Domenə qoşulmuş Windows üzvləri adətən hər dəfə açıq serverə sorğu göndərmək əvəzinə Active Directory vaxt iyerarxiyasına uyğun gəlir. Bu zəncir meşə kökünün PDC emulyatorunda bitir və onun istinadı təşkilatın səlahiyyətli mənbəyidir.

İstinadı iki şərt müəyyən edir: siyasətin xarici vaxt xidmətinə icazə verib-verməməsi və şəbəkənin hər saytdan təsdiqlənmiş daxili mənbəyə etibarlı çatıb-çatmaması. Əgər hər ikisi qeyri-müəyyəndirsə, praktik cavab iyerarxiyanı toxunulmaz saxlamaq və müştəriləri açıq hovuza yönəltmək əvəzinə əlçatanlığı düzəltməkdir. Üçüncü şərt uğursuzluq yolunu müəyyən edir: heç bir mənbə əlçatan olmadıqda cihaz nə etməlidir. Bunu əvvəlcədən həll etmək bir noutbuka açıq server sancmaq kimi improvizə edilmiş düzəlişdən qaçınır.

Bu seçim uzaq giriş dizaynına deyil, domen və vaxt administratorlarına aiddir. Özünü etibarlı vaxt orqanı kimi konfiqurasiya edən noutbuk başqa arxitekturadır və bu, nadir hallarda təhlükəsizlik baxışının təsdiqlədiyi arxitekturadır.

Cihazın əslində nədən istifadə etdiyini oxuyun

İdarə olunan Windows cihazında cari vəziyyəti iki yalnız-oxuma əmri sənədləşdirir və onları dəyişiklikdən əvvəl və sonra qeyd etməyə dəyər:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Seçilmiş mənbəni, son uğurlu sinxronizasiyanı və stratum və ya istinad identifikatorunu cihazın idarəetmə siyasəti ilə birlikdə qeyd edin. Bir uğurlu əl sinxronizasiyası əmrin işlədiyini sübut edir, siyasətin yenidən başlatmaya və ya rol dəyişikliyinə dözdüyünü yox.

Əgər mənbə yerli CMOS saatını göstərirsə, cihaz heç sinxronlaşmır, bu da adətən domen nəzarətçisinin açılışda əlçatan olmadığını və ya vaxt xidmətinin siyasətlə söndürüldüyünü bildirir. Əgər açıq server göstərirsə, domen iyerarxiyasından kənarda bir şey qalib gəlir və bu, şəbəkə deyil, siyasət məsələsidir.

Rouminq zamanı nə baş verdiyini müəyyənləşdirin

Bağlantı kəsilmiş halda cihaz yerli saatına və çata bildiyi vaxt təminatçılarına güvənir. Noutbuklar sürüşür və həftələrlə oflayn qalmış cihaz yenidən qoşulduqdan sonra ilk Kerberos sorğusunda uğursuz olacaq qədər uzaqlaşa bilər.

Yenidən qoşulduqda cihaz yalnız fayl paylaşımına marşrut deyil, domen kəşfi və nəzərdə tutulan vaxt xidməti yolu tələb edir. Bunu şəbəkədən kənarda yenidən başladaraq, VPN-ə qoşularaq və mənbəni yenidən oxuyaraq yoxlayın; iyerarxiyanın özünü bərpa etdiyini güman etməyin.

Virtual maşınlar başqa bir təminatçı əlavə edir. Hipervayzer vaxt inteqrasiyası bir çox dizaynda qanuni mənbədir, lakin onun rolu qəsdən seçilməli və domen siyasəti ilə əlaqələndirilməlidir. Ziddiyyət təşkil edən iki təminatçı sabit görünən və səhv olan saat yaradır.

Üzv siyasətini səlahiyyətdən ayrı saxlayın

Adi üzv konfiqurasiyası və səlahiyyətli serverin konfiqurasiyası fərqli dəyişiklik nəzarəti olan fərqli problemlərdir. Onları qarışdırmaq, gündəlik noutbuk siyasəti dəyişikliyinin bütün meşə üçün istinadı dəyişməsi ilə nəticələnməsinin yoludur.

Qərar qeydini dörd sətir kimi yazın: səlahiyyətli mənbə, onu daşıyan iyerarxiya, rouminq davranışı və cihazda vəziyyəti sübut edən əmr. İlk üçü sənədləşdirilibsə və dördüncüsü təkrarlana bilirsə, vaxtla bağlı giriş uğursuzluğu VPN jurnallarında axtarış yerinə beş dəqiqəlik yoxlamaya çevrilir.