Чаму VPN не выпраўляе гадзіннік наўтбука, уключанага ў дамен

Аддалены супрацоўнік падключае VPN, тунэль падымаецца, і ўваходы пачынаюць зрывацца з памылкай аўтэнтыфікацыі, якая згадвае час. З тунэлем усё ў парадку. VPN пераносіць пакеты паміж сеткамі; ён не дае двум машынам агульнага гадзінніка, а даменная аўтэнтыфікацыя, праверка сертыфікатаў і карэляцыя аўдыту залежаць ад гадзіннікаў, якія дастаткова блізка згаджаюцца. Адсюль вынікаюць тры рашэнні: каму належыць час у дамене, што насамрэч выкарыстоўвае прылада і што адбываецца, пакуль прылада вандравала.

Шлях — гэта не гадзіннік

Аўтэнтыфікацыя Kerberos уключае даныя, адчувальныя да часу, і адхіляе запыты, якія выходзяць за наладжаны допуск, што па змаўчанні складае пяць хвілін у даменах Windows. Сертыфікаты маюць інтэрвалы дзеяння, таму прылада, гадзіннік якой значна паспяшае, лічыць сапраўдны сертыфікат яшчэ не сапраўдным. Запісы аўдыту з некалькіх машын супастаўляюцца толькі тады, калі іх гадзіннікі блізкія, і гэта важна ўпершыню, калі разбор інцыдэнту пытаецца, што адбылося раней.

Гэтыя тры залежнасці не звязаныя з тунэлем. Падняцце VPN змяняе даступнасць, а даступнасць — гэта тое, што дазваляе прыладзе знайсці крыніцу часу; яна не з’яўляецца крыніцай.

Трымайце адлюстраваны часавы пояс асобна ад самога гадзінніка. Два наўтбукі, якія паказваюць розныя мясцовыя гадзіны, могуць быць цалкам сінхранізаваныя, а два, якія паказваюць аднолькавую гадзіну, могуць разыходзіцца на хвіліны, калі іх налады часавага пояса розныя. Змена часавага пояса не з’яўляецца рамонтам няправільнага гадзінніка, а перанос даты назад, каб прымусіць працаваць пратэрмінаваны сертыфікат, ламае ўсе іншыя залежныя ад часу праверкі на машыне.

Вызначце, каму належыць час у дамене

Члены Windows, уключаныя ў дамен, звычайна ідуць па іерархіі часу Active Directory, а не запытваюць публічны сервер кожны раз. Гэты ланцуг заканчваецца на эмулятары PDC кораня лесу, чыя спасылка з’яўляецца аўтарытэтнай крыніцай арганізацыі.

Крыніцу вызначаюць дзве ўмовы: ці дазваляе палітыка знешнюю службу часу і ці можа сетка надзейна дасягнуць зацверджанай унутранай крыніцы з кожнага сайта. Калі абедзве незразумелыя, практычны адказ — захаваць іерархію цэлай і выправіць даступнасць, а не накіроўваць кліентаў на публічны пул. Трэцяя ўмова вызначае шлях збою: што павінна рабіць прылада, калі ні адна з крыніц недаступная. Загадзя ўрэгуляванае, гэта пазбягае імправізаванай выправы з замацаваннем публічнага сервера на адным наўтбуку.

Гэты выбар належыць адміністратарам дамена і часу, а не праектаванню аддаленага доступу. Наўтбук, які наладжвае сябе як надзейны аўтарытэт часу, — гэта іншая архітэктура, і яна рэдка бывае той, якую ўхваліў агляд бяспекі.

Прачытайце, што насамрэч выкарыстоўвае прылада

Дзве каманды толькі для чытання дакументуюць бягучы стан на кіраванай прыладзе Windows, і іх варта зафіксаваць да і пасля змены:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Запішыце выбраную крыніцу, апошнюю паспяховую сінхранізацыю і стратум або ідэнтыфікатар спасылкі побач з палітыкай кіравання прыладай. Адна паспяховая ручная сінхранізацыя даказвае, што каманда працуе, а не тое, што палітыка перажыве перазапуск або змену ролі.

Калі крыніца паказвае лакальны гадзіннік CMOS, прылада зусім не сінхранізуецца, што звычайна азначае, што кантролер дамена быў недаступны пры загрузцы або служба часу была адключана палітыкай. Калі яна паказвае публічны сервер, перамагае нешта па-за іерархіяй дамена, і гэта пытанне палітыкі, а не сеткі.

Вызначце, што адбываецца пры роўмінгу

У адключаным стане прылада спадзяецца на свой лакальны гадзіннік і на любыя пастаўшчыкі часу, да якіх можа дасягнуць. Наўтбукі дрыфтуюць, і прылада, якая была па-за сеткай тыднямі, можа настолькі адхіліцца, што першы запыт Kerberos пасля перападключэння праваліцца.

Пасля перападключэння прыладзе патрэбныя выяўленне дамена і прадугледжаны шлях службы часу, а не проста маршрут да файлавага рэсурсу. Праверце гэта, перазапусціўшыся па-за сеткай, падключыўшы VPN і зноў прачытаўшы крыніцу, замест таго каб меркаваць, што іерархія аднавілася сама.

Віртуальныя машыны дадаюць яшчэ аднаго пастаўшчыка. Інтэграцыя часу гіпервізара — законная крыніца ў многіх праектах, але яе ролю трэба выбіраць свядома і ўзгадняць з палітыкай дамена. Два пастаўшчыкі, якія разыходзяцца, даюць гадзіннік, які выглядае стабільным і пры гэтым памылковы.

Трымайце палітыку членаў асобна ад аўтарытэту

Звычайная канфігурацыя члена і канфігурацыя аўтарытэтнага сервера — гэта розныя праблемы з розным кантролем змен. Іх змешванне — гэта шлях, якім рутынная змена палітыкі наўтбука ўрэшце змяняе спасылку для ўсяго лесу.

Запішыце рашэнне чатырма радкамі: аўтарытэтная крыніца, іерархія, якая яе пераносіць, паводзіны пры роўмінгу і каманда, якая даказвае стан на прыладзе. Калі першыя тры задокументаваныя, а чацвёртая паўторная, збой уваходу, звязаны з часам, ператвараецца ў пяціхвілінную праверку замест пошуку ў журналах VPN.