Hvorfor en VPN ikke retter uret på en domænetilsluttet bærbar pc

En fjernmedarbejder opretter VPN-forbindelsen, tunnelen kommer op, og logins begynder at fejle med en godkendelsesfejl, der nævner tid. Intet ved tunnelen er i stykker. En VPN bærer pakker mellem netværk; den giver ikke to maskiner et fælles ur, og domænegodkendelse, certifikatvalidering og revisionskorrelation afhænger alle af ure, der stemmer tæt nok overens. Der følger tre beslutninger: hvem der ejer tiden i domænet, hvad enheden faktisk bruger, og hvad der sker, mens enheden roamer.

En rute er ikke et ur

Kerberos-godkendelse indeholder tidsfølsomme data og afviser anmodninger uden for en konfigureret tolerance, som som standard er fem minutter i Windows-domæner. Certifikater har gyldighedsintervaller, så en enhed, hvis ur går tilstrækkeligt forud, behandler et gyldigt certifikat som endnu ikke gyldigt. Revisionsposter fra flere maskiner korrelerer kun, hvis deres ure er tæt på hinanden, og det betyder noget første gang en hændelsesgennemgang spørger, hvad der skete først.

De tre afhængigheder er uafhængige af tunnelen. At rejse en VPN ændrer tilgængelighed, og tilgængelighed er det, der lader en enhed finde en tidskilde; det er ikke kilden.

Hold den viste tidszone adskilt fra selve uret. To bærbare computere, der viser forskellige lokale timer, kan være perfekt synkroniserede, og to, der viser samme time, kan afvige med minutter, hvis deres tidszoneindstillinger er forskellige. At ændre tidszonen er ikke en reparation af et forkert ur, og at flytte en dato bagud for at få et udløbet certifikat til at virke ødelægger enhver anden tidsafhængig kontrol på maskinen.

Beslut hvem der ejer tiden i domænet

Domænetilsluttede Windows-medlemmer følger normalt Active Directorys tids hierarki i stedet for at spørge en offentlig server hver gang. Kæden ender ved skovroddens PDC-emulator, hvis reference er organisationens autoritative kilde.

To betingelser afgør referencen: om politik tillader en ekstern tidstjeneste, og om netværket pålideligt kan nå en godkendt intern kilde fra hvert sted. Hvis begge er uklare, er det praktiske svar at holde hierarkiet intakt og rette tilgængeligheden i stedet for at pege klienter mod en offentlig pulje. En tredje betingelse afgør fejlvejen: hvad enheden skal gøre, når ingen af kilderne kan nås. At afklare det på forhånd undgår den improviserede løsning at fastgøre en offentlig server på én bærbar pc.

Det valg tilhører domæne- og tidsadministratorerne, ikke fjernadgangsdesignet. En bærbar pc, der konfigurerer sig selv som tidsautoritet, er en anden arkitektur, og det er sjældent den, sikkerhedsgennemgangen godkendte.

Læs hvad enheden faktisk bruger

To skrivebeskyttede kommandoer dokumenterer den aktuelle tilstand på en administreret Windows-enhed, og de er værd at registrere før og efter en ændring:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Noter den valgte kilde, den sidste vellykkede synkronisering og stratum eller referenceidentifikator sammen med enhedens administrationspolitik. Én vellykket manuel synkronisering beviser, at kommandoen virker, ikke at politikken overlever en genstart eller en rolændring.

Hvis kilden viser det lokale CMOS-ur, synkroniserer enheden slet ikke, hvilket normalt betyder, at domænecontrolleren ikke kunne nås ved opstart, eller at tidstjenesten blev deaktiveret af politik. Hvis den viser en offentlig server, vinder noget uden for domænehierarkiet, og det er et politisk spørgsmål snarere end et netværksspørgsmål.

Beslut hvad der sker under roaming

Mens enheden er afbrudt, er den afhængig af sit lokale ur og af de tidsudbydere, den kan nå. Bærbare computere driver, og en enhed, der har været offline i uger, kan være langt nok fra til at fejle den første Kerberos-anmodning efter genopkobling.

Ved genopkobling har enheden brug for domæneopdagelse og den tilsigtede vej til tidstjenesten, ikke bare en rute til en filshare. Test det ved at genstarte uden for netværket, oprette VPN-forbindelsen og læse kilden igen i stedet for at antage, at hierarkiet har genoprettet sig selv.

Virtuelle maskiner tilføjer endnu en udbyder. Hypervisor-tidsintegration er en legitim kilde i mange designs, men dens rolle bør vælges bevidst og koordineres med domænepolitikken. To udbydere, der er uenige, giver et ur, der ser stabilt ud og er forkert.

Hold medlemspolitik adskilt fra autoriteten

Almindelig medlemskonfiguration og den autoritative servers konfiguration er forskellige problemer med forskellig ændringskontrol. At blande dem er måden, hvorpå en rutinemæssig ændring af bærbar-politik ender med at ændre referencen for hele skoven.

Skriv beslutningsposten som fire linjer: den autoritative kilde, det hierarki der bærer den, adfærden ved roaming og den kommando, der beviser tilstanden på en enhed. Hvis de tre første er dokumenteret, og den fjerde kan gentages, bliver en tidsrelateret loginfejl et femminutters tjek i stedet for en jagt gennem VPN-logfiler.