Proč VPN nespraví hodiny notebooku připojeného k doméně

Vzdálený pracovník připojí VPN, tunel se zvedne a přihlášení začnou selhávat s chybou ověřování, která zmiňuje čas. Na tunelu není nic rozbité. VPN přenáší pakety mezi sítěmi; nedává dvěma strojům společné hodiny a ověřování domény, validace certifikátů i korelace auditu závisí na hodinách, které se shodují dostatečně blízko. Z toho plynou tři rozhodnutí: komu patří čas v doméně, co zařízení skutečně používá a co se děje, když zařízení roamuje.

Cesta není hodiny

Ověřování Kerberos obsahuje data citlivá na čas a odmítá požadavky mimo nakonfigurovanou toleranci, která je ve Windows doménách standardně pět minut. Certifikáty mají intervaly platnosti, takže zařízení, jehož hodiny dostatečně předbíhají, považuje platný certifikát za dosud neplatný. Auditní záznamy z několika strojů se korelují jen tehdy, když jsou jejich hodiny blízko, a to je důležité poprvé, když se vyšetřování incidentu ptá, co se stalo dřív.

Tyto tři závislosti jsou na tunelu nezávislé. Zvednutí VPN mění dostupnost a dostupnost je to, co zařízení umožní najít zdroj času; sama zdrojem není.

Držte zobrazené časové pásmo oddělené od samotných hodin. Dva notebooky zobrazující různé místní časy mohou být dokonale synchronizované a dva zobrazující stejnou hodinu se mohou rozejít o minuty, pokud se jejich nastavení časového pásma liší. Změna časového pásma není oprava špatných hodin a posunutí data zpět, aby fungoval propadlý certifikát, rozbije každou další na čase závislou kontrolu na stroji.

Rozhodněte, komu patří čas v doméně

Členové Windows připojení k doméně obvykle následují časovou hierarchii Active Directory, místo aby se pokaždé dotazovali veřejného serveru. Tento řetěz končí u emulátoru PDC kořene doménového lesa, jehož reference je autoritativním zdrojem organizace.

Referenci určují dvě podmínky: zda zásada povoluje externí časovou službu a zda síť dokáže spolehlivě dosáhnout schváleného interního zdroje z každého webu. Pokud jsou obě nejasné, praktickou odpovědí je ponechat hierarchii nedotčenou a opravit dostupnost, místo abyste klienty nasměrovali na veřejný pool. Třetí podmínka určuje cestu selhání: co má zařízení dělat, když není dostupný ani jeden zdroj. Vyřešit to předem zamezí improvizované opravě, kdy se veřejný server přišpendlí na jeden notebook.

Tato volba patří správcům domény a času, ne návrhu vzdáleného přístupu. Notebook, který se sám konfiguruje jako spolehlivá časová autorita, je jiná architektura a málokdy je tou, kterou schválila bezpečnostní revize.

Přečtěte si, co zařízení skutečně používá

Dva příkazy jen pro čtení dokumentují aktuální stav na spravovaném zařízení s Windows a vyplatí se je zaznamenat před změnou a po ní:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Zaznamenejte zvolený zdroj, poslední úspěšnou synchronizaci a stratum nebo identifikátor reference vedle zásady správy zařízení. Jedna úspěšná ruční synchronizace dokazuje, že příkaz funguje, ne že zásada přežije restart nebo změnu role.

Pokud zdroj ukazuje místní hodiny CMOS, zařízení se vůbec nesynchronizuje, což obvykle znamená, že kontroler domény nebyl při startu dostupný nebo byla časová služba zakázána zásadou. Pokud ukazuje veřejný server, vyhrává něco mimo hierarchii domény, a to je otázka zásad, ne sítě.

Rozhodněte, co se děje během roamingu

Když je zařízení odpojené, spoléhá na své místní hodiny a na jakékoli poskytovatele času, na které dosáhne. Notebooky driftují a zařízení, které bylo týdny offline, se může odchýlit natolik, že první požadavek Kerberos po opětovném připojení selže.

Při opětovném připojení zařízení potřebuje zjištění domény a zamýšlenou cestu časové služby, ne jen trasu ke sdílené složce. Otestujte to restartem mimo síť, připojením VPN a opětovným přečtením zdroje, místo abyste předpokládali, že se hierarchie sama obnovila.

Virtuální stroje přidávají dalšího poskytovatele. Časová integrace hypervizoru je v mnoha návrzích legitimní zdroj, ale její role má být zvolena záměrně a sladěna se zásadou domény. Dva poskytovatelé, kteří se neshodnou, dávají hodiny, které vypadají stabilně a jsou špatné.

Držte zásady členů oddělené od autority

Běžná konfigurace člena a konfigurace autoritativního serveru jsou různé problémy s různou kontrolou změn. Jejich míchání je způsob, jak rutinní změna zásady notebooku nakonec změní referenci pro celý les.

Zapište rozhodnutí do čtyř řádků: autoritativní zdroj, hierarchie, která ho nese, chování při roamingu a příkaz, který prokáže stav na zařízení. Pokud jsou první tři zdokumentované a čtvrtý opakovatelný, selhání přihlášení související s časem se změní v pětiminutovou kontrolu místo honu v logech VPN.