Защо VPN не оправя часовника на лаптоп, присъединен към домейн

Отдалечен служител се свързва с VPN, тунелът се вдига и влизанията започват да се провалят с грешка при удостоверяване, която споменава време. С тунела нищо не е счупено. VPN пренася пакети между мрежи; той не дава на две машини общ часовник, а домейн удостоверяването, проверката на сертификати и корелацията на одита зависят от часовници, които съвпадат достатъчно близо. Оттук следват три решения: кой притежава времето в домейна, какво всъщност използва устройството и какво се случва, докато устройството е в роуминг.

Пътят не е часовник

Удостоверяването Kerberos включва чувствителни към времето данни и отхвърля заявки извън конфигуриран толеранс, който по подразбиране е пет минути в домейни на Windows. Сертификатите имат интервали на валидност, така че устройство, чийто часовник избързва достатъчно, приема валиден сертификат за още невалиден. Одитните записи от няколко машини се съотнасят само ако часовниците им са близки, а това има значение първия път, когато разследване на инцидент попита какво се е случило първо.

Тези три зависимости не зависят от тунела. Вдигането на VPN променя достижимостта, а достижимостта е това, което позволява на устройството да намери източник на време; тя не е източникът.

Дръжте показаната часова зона отделно от самия часовник. Два лаптопа, които показват различни местни часове, може да са напълно синхронизирани, а два, които показват същия час, може да се разминават с минути, ако настройките им за часова зона се различават. Смяната на часовата зона не е ремонт на грешен часовник, а преместването на дата назад, за да проработи изтекъл сертификат, чупи всяка друга проверка на машината, зависима от времето.

Решете кой притежава времето в домейна

Присъединените към домейн членове на Windows обикновено следват времевата йерархия на Active Directory, вместо да питат публичен сървър всеки път. Тази верига завършва при емулатора на PDC за корена на гората, чиято референция е авторитетният източник на организацията.

Две условия определят референцията: дали политиката позволява външна услуга за време и дали мрежата може надеждно да достигне одобрен вътрешен източник от всеки сайт. Ако и двете са неясни, практичният отговор е да се запази йерархията непокътната и да се оправи достижимостта, вместо клиентите да се насочват към публичен пул. Трето условие определя пътя при отказ: какво трябва да прави устройството, когато нито един източник не е достъпен. Уредено предварително, това избягва импровизираната поправка да се заковава публичен сървър на един лаптоп.

Този избор принадлежи на администраторите на домейна и на времето, а не на дизайна за отдалечен достъп. Лаптоп, който се настройва като надежден авторитет по време, е друга архитектура и рядко е тази, която прегледът по сигурност е одобрил.

Прочетете какво всъщност използва устройството

Две команди само за четене документират текущото състояние на управлявано устройство с Windows и си струва да се запишат преди и след промяна:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Запишете избрания източник, последната успешна синхронизация и стратума или идентификатора на референцията заедно с политиката за управление на устройството. Една успешна ръчна синхронизация доказва, че командата работи, а не че политиката оцелява след рестарт или промяна на роля.

Ако източникът показва локалния часовник CMOS, устройството изобщо не се синхронизира, което обикновено означава, че контролерът на домейна е бил недостъпен при зареждане или услугата за време е била изключена от политика. Ако показва публичен сървър, нещо извън йерархията на домейна печели и това е въпрос на политика, а не на мрежа.

Решете какво се случва при роуминг

Докато е изключено, устройството разчита на локалния си часовник и на доставчиците на време, до които може да достигне. Лаптопите се отклоняват и устройство, което е било офлайн седмици, може да се отклони достатъчно, за да се провали първата заявка Kerberos след повторно свързване.

При повторно свързване устройството се нуждае от откриване на домейна и от предвидения път до услугата за време, не само от маршрут до файлов дял. Тествайте това, като рестартирате извън мрежата, свържете VPN и прочетете източника отново, вместо да предполагате, че йерархията се е възстановила сама.

Виртуалните машини добавят още един доставчик. Интеграцията на времето на хипервизора е законен източник в много проекти, но ролята ѝ трябва да се избере съзнателно и да се координира с домейн политиката. Двама доставчици, които не са съгласни, дават часовник, който изглежда стабилен и е грешен.

Дръжте политиката за членове отделно от авторитета

Обикновената конфигурация на член и конфигурацията на авторитетния сървър са различни проблеми с различен контрол на промените. Смесването им е начинът, по който рутинна промяна в политиката на лаптоп в крайна сметка променя референцията за цялата гора.

Напишете записа за решението като четири реда: авторитетният източник, йерархията, която го носи, поведението при роуминг и командата, която доказва състоянието на устройство. Ако първите три са документирани, а четвъртата е повторяема, отказът при вход, свързан с времето, се превръща в петминутна проверка вместо в търсене из VPN журналите.