Pam nad yw VPN yn trwsio cloc gliniadur sydd wedi’i ymuno â pharth

Mae gweithiwr o bell yn cysylltu’r VPN, mae’r twmnel yn codi, ac mae mewngofnodion yn dechrau methu â gwall dilysu sy’n crybwyll amser. Nid oes dim wedi torri yn y twmnel. Mae VPN yn cario pecynnau rhwng rhwydweithiau; nid yw’n rhoi cloc cyffredin i ddwy beiriant, ac mae dilysu’r parth, dilysu tystysgrifau a chydberthyniad archwilio i gyd yn dibynnu ar glociau sy’n cytuno’n ddigon agos. Daw tair penderfyniad o hynny: pwy sy’n berchen ar amser yn y parth, beth mae’r ddyfais yn ei ddefnyddio mewn gwirionedd, a beth sy’n digwydd tra bo’r ddyfais yn crwydro.

Nid llwybr yw cloc

Mae dilysu Kerberos yn cynnwys data sy’n sensitif i amser ac yn gwrthod ceisiadau y tu allan i goddefgarwch a ffurfweddiwyd, sef pum munud yn rhagosodedig mewn parthau Windows. Mae gan dystysgrifau gyfnodau dilysrwydd, felly mae dyfais y mae ei chloc ymhell digon o flaen yn trin tystysgrif ddilys fel un nad yw’n ddilys eto. Dim ond os yw eu clociau’n agos y mae cofnodion archwilio o sawl peiriant yn cydberthyn, ac mae hynny’n bwysig y tro cyntaf i adolygiad digwyddiad ofyn beth ddigwyddodd gyntaf.

Mae’r tair dibyniaeth hynny’n annibynnol ar y twmnel. Mae codi VPN yn newid cyrhaeddedd, a chyrhaeddedd yw’r hyn sy’n caniatáu i ddyfais ddod o hyd i ffynhonnell amser; nid hi yw’r ffynhonnell.

Cadwch y parth amser a ddangosir ar wahân i’r cloc ei hun. Gall dau liniadur sy’n dangos oriau lleol gwahanol fod yn gwbl gydamserol, a gall dau sy’n dangos yr un awr anghytuno o funudau os yw eu gosodiadau parth amser yn wahanol. Nid yw newid y parth amser yn atgyweiriad i gloc anghywir, ac mae symud dyddiad yn ôl i wneud i dystysgrif sydd wedi dod i ben weithio yn torri pob gwiriad arall ar y peiriant sy’n dibynnu ar amser.

Penderfynwch pwy sy’n berchen ar amser yn y parth

Mae aelodau Windows sydd wedi ymuno â pharth fel arfer yn dilyn hierarchaeth amser Active Directory yn hytrach na holi gweinydd cyhoeddus bob tro. Mae’r gadwyn honno’n gorffen ym mheiriant efelychu PDC gwraidd y fforest, a’i gyfeiriad yw ffynhonnell awdurdodol y sefydliad.

Mae dau amod yn penderfynu’r cyfeiriad: a yw’r polisi’n caniatáu gwasanaeth amser allanol, ac a all y rhwydwaith gyrraedd ffynhonnell fewnol gymeradwy’n ddibynadwy o bob safle. Os yw’r ddau yn aneglur, yr ateb ymarferol yw cadw’r hierarchaeth yn gyfan a thrwsio cyrhaeddedd yn hytrach na phwyntio cleientiaid at bwll cyhoeddus. Mae trydydd amod yn penderfynu’r llwybr methiant: beth ddylai’r ddyfais ei wneud pan nad oes modd cyrraedd y naill ffynhonnell na’r llall. Mae setlo hynny ymlaen llaw yn osgoi’r atgyweiriad byrfyfyr o binio gweinydd cyhoeddus ar un liniadur.

Mae’r dewis hwnnw’n perthyn i weinyddwyr y parth a’r amser, nid i ddyluniad mynediad o bell. Mae liniadur sy’n ffurfweddu ei hun fel awdurdod amser dibynadwy yn bensaernïaeth wahanol, ac anaml yw’r un a gymeradwywyd gan yr adolygiad diogelwch.

Darllenwch beth mae’r ddyfais yn ei ddefnyddio mewn gwirionedd

Mae dau orchymyn darllen yn unig yn dogfennu’r cyflwr presennol ar ddyfais Windows a reolir, ac mae’n werth eu cofnodi cyn ac ar ôl newid:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Cofnodwch y ffynhonnell a ddewiswyd, y cydamseriad llwyddiannus diwethaf a’r haen neu’r dynodwr cyfeirio ochr yn ochr â pholisi rheoli’r ddyfais. Mae un cydamseriad â llaw llwyddiannus yn profi bod y gorchymyn yn gweithio, nid bod y polisi’n goroesi ailgychwyn neu newid rôl.

Os yw’r ffynhonnell yn dangos y cloc CMOS lleol, nid yw’r ddyfais yn cydamseru o gwbl, sy’n golygu fel arfer nad oedd y rheolydd parth yn cyrraeddadwy wrth gychwyn neu fod y gwasanaeth amser wedi’i analluogi gan bolisi. Os yw’n dangos gweinydd cyhoeddus, mae rhywbeth y tu allan i hierarchaeth y parth yn ennill, a chwestiwn polisi yw hynny, nid un rhwydwaith.

Penderfynwch beth sy’n digwydd wrth grwydro

Tra bo’n ddatgysylltiedig, mae’r ddyfais yn dibynnu ar ei chloc lleol ac ar ba bynnag ddarparwyr amser y gall eu cyrraedd. Mae liniaduron yn drifftio, a gall dyfais sydd wedi bod all-lein am wythnosau fod ymhell ddigon i fethu’r cais Kerberos cyntaf ar ôl ailgysylltu.

Wrth ailgysylltu, mae angen darganfod y parth a’r llwybr gwasanaeth amser a fwriadwyd ar y ddyfais, nid dim ond llwybr at rannu ffeiliau. Profwch hynny drwy ailgychwyn oddi ar y rhwydwaith, cysylltu’r VPN a darllen y ffynhonnell eto yn hytrach na thybio bod y hierarchaeth wedi ailsefydlu ei hun.

Mae peiriannau rhithwir yn ychwanegu darparwr arall. Mae integreiddio amser hypervisor yn ffynhonnell ddilys mewn llawer o ddyluniadau, ond dylid dewis ei rôl yn fwriadol a’i chydlynu â pholisi’r parth. Mae dau ddarparwr yn anghytuno yn cynhyrchu cloc sy’n edrych yn sefydlog ac sy’n anghywir.

Cadwch bolisi’r aelodau ar wahân i’r awdurdod

Mae ffurfweddiad arferol aelod a ffurfweddiad y gweinydd awdurdodol yn broblemau gwahanol â rheolaeth newid wahanol. Cymysgu’r ddau yw’r ffordd y mae newid polisi liniadur arferol yn y pen draw yn newid y cyfeiriad ar gyfer y fforest gyfan.

Ysgrifennwch y cofnod penderfyniad yn bedair llinell: y ffynhonnell awdurdodol, yr hierarchaeth sy’n ei chario, yr ymddygiad wrth grwydro, a’r gorchymyn sy’n profi’r cyflwr ar ddyfais. Os yw’r tri chyntaf wedi’u dogfennu a’r pedwerydd yn ailadroddadwy, mae methiant mewngofnodi sy’n ymwneud ag amser yn dod yn wiriad pum munud yn lle helfa drwy logiau VPN.