Γιατί ένα VPN δεν διορθώνει το ρολόι ενός φορητού υπολογιστή ενταγμένου σε τομέα

Ένας απομακρυσμένος εργαζόμενος συνδέει το VPN, η σήραγγα ανεβαίνει και οι συνδέσεις αρχίζουν να αποτυγχάνουν με σφάλμα ταυτοποίησης που αναφέρει την ώρα. Τίποτα στη σήραγγα δεν είναι χαλασμένο. Ένα VPN μεταφέρει πακέτα μεταξύ δικτύων· δεν δίνει σε δύο μηχανήματα ένα κοινό ρολόι, και η ταυτοποίηση τομέα, η επικύρωση πιστοποιητικών και η συσχέτιση ελέγχου εξαρτώνται όλα από ρολόγια που συμφωνούν αρκετά κοντά. Από αυτό προκύπτουν τρεις αποφάσεις: ποιος κατέχει την ώρα στον τομέα, τι χρησιμοποιεί πραγματικά η συσκευή και τι συμβαίνει όσο η συσκευή περιοδεύει.

Μια διαδρομή δεν είναι ρολόι

Η ταυτοποίηση Kerberos περιλαμβάνει δεδομένα ευαίσθητα στον χρόνο και απορρίπτει αιτήματα εκτός μιας ρυθμισμένης ανοχής, που είναι εξ ορισμού πέντε λεπτά σε τομείς Windows. Τα πιστοποιητικά φέρουν διαστήματα ισχύος, οπότε μια συσκευή της οποίας το ρολόι προηγείται αρκετά θεωρεί ένα έγκυρο πιστοποιητικό ως μη έγκυρο ακόμη. Οι εγγραφές ελέγχου από πολλά μηχανήματα συσχετίζονται μόνο αν τα ρολόγια τους είναι κοντά, και αυτό μετράει την πρώτη φορά που μια ανασκόπηση περιστατικού ρωτά τι συνέβη πρώτο.

Αυτές οι τρεις εξαρτήσεις είναι ανεξάρτητες από τη σήραγγα. Η ενεργοποίηση ενός VPN αλλάζει την προσβασιμότητα, και η προσβασιμότητα είναι αυτό που επιτρέπει σε μια συσκευή να βρει πηγή ώρας· δεν είναι η πηγή.

Κρατήστε τη ζώνη ώρας που εμφανίζεται χωριστά από το ίδιο το ρολόι. Δύο φορητοί που δείχνουν διαφορετικές τοπικές ώρες μπορεί να είναι απόλυτα συγχρονισμένοι, και δύο που δείχνουν την ίδια ώρα μπορεί να διαφέρουν κατά λεπτά αν οι ρυθμίσεις ζώνης ώρας τους διαφέρουν. Η αλλαγή ζώνης ώρας δεν είναι επισκευή λάθος ρολογιού, και η μετακίνηση μιας ημερομηνίας προς τα πίσω για να δουλέψει ένα ληγμένο πιστοποιητικό σπάει κάθε άλλον έλεγχο στη μηχανή που εξαρτάται από τον χρόνο.

Αποφασίστε ποιος κατέχει την ώρα στον τομέα

Τα μέλη Windows που ανήκουν σε τομέα ακολουθούν συνήθως την ιεραρχία ώρας του Active Directory αντί να ρωτούν δημόσιο διακομιστή κάθε φορά. Αυτή η αλυσίδα τελειώνει στον εξομοιωτή PDC της ρίζας του δάσους, του οποίου η αναφορά είναι η έγκυρη πηγή του οργανισμού.

Δύο συνθήκες καθορίζουν την αναφορά: αν η πολιτική επιτρέπει εξωτερική υπηρεσία ώρας και αν το δίκτυο μπορεί να φτάσει αξιόπιστα μια εγκεκριμένη εσωτερική πηγή από κάθε τοποθεσία. Αν και οι δύο είναι ασαφείς, η πρακτική απάντηση είναι να μείνει η ιεραρχία άθικτη και να διορθωθεί η προσβασιμότητα αντί να δείχνουμε τους πελάτες σε δημόσια δεξαμενή. Μια τρίτη συνθήκη καθορίζει τη διαδρομή αποτυχίας: τι πρέπει να κάνει η συσκευή όταν καμία πηγή δεν είναι προσβάσιμη. Η εκ των προτέρων διευθέτηση αποφεύγει την αυτοσχέδια διόρθωση του καρφώματος δημόσιου διακομιστή σε έναν φορητό.

Αυτή η επιλογή ανήκει στους διαχειριστές τομέα και ώρας, όχι στον σχεδιασμό απομακρυσμένης πρόσβασης. Ένας φορητός που ρυθμίζει τον εαυτό του ως αξιόπιστη αρχή ώρας είναι διαφορετική αρχιτεκτονική, και σπάνια είναι αυτή που ενέκρινε η ανασκόπηση ασφαλείας.

Διαβάστε τι χρησιμοποιεί πραγματικά η συσκευή

Δύο εντολές μόνο για ανάγνωση τεκμηριώνουν την τρέχουσα κατάσταση σε μια διαχειριζόμενη συσκευή Windows, και αξίζει να τις καταγράψετε πριν και μετά από μια αλλαγή:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Καταγράψτε την επιλεγμένη πηγή, τον τελευταίο επιτυχή συγχρονισμό και το stratum ή το αναγνωριστικό αναφοράς δίπλα στην πολιτική διαχείρισης της συσκευής. Ένας επιτυχής χειροκίνητος συγχρονισμός αποδεικνύει ότι η εντολή λειτουργεί, όχι ότι η πολιτική επιβιώνει από επανεκκίνηση ή αλλαγή ρόλου.

Αν η πηγή δείχνει το τοπικό ρολόι CMOS, η συσκευή δεν συγχρονίζεται καθόλου, που συνήθως σημαίνει ότι ο ελεγκτής τομέα δεν ήταν προσβάσιμος κατά την εκκίνηση ή ότι η υπηρεσία ώρας απενεργοποιήθηκε από πολιτική. Αν δείχνει δημόσιο διακομιστή, κάτι έξω από την ιεραρχία του τομέα κερδίζει, και αυτό είναι ζήτημα πολιτικής, όχι δικτύου.

Αποφασίστε τι συμβαίνει κατά την περιαγωγή

Όσο είναι αποσυνδεδεμένη, η συσκευή βασίζεται στο τοπικό της ρολόι και σε όποιους παρόχους ώρας μπορεί να φτάσει. Οι φορητοί αποκλίνουν, και μια συσκευή που ήταν εκτός σύνδεσης για εβδομάδες μπορεί να αποκλίνει αρκετά ώστε να αποτύχει το πρώτο αίτημα Kerberos μετά την επανασύνδεση.

Κατά την επανασύνδεση, η συσκευή χρειάζεται ανακάλυψη τομέα και τη σχεδιασμένη διαδρομή της υπηρεσίας ώρας, όχι μόνο μια διαδρομή προς κοινόχρηστο φάκελο. Δοκιμάστε το επανεκκινώντας εκτός δικτύου, συνδέοντας το VPN και διαβάζοντας ξανά την πηγή αντί να υποθέσετε ότι η ιεραρχία επανήλθε μόνη της.

Οι εικονικές μηχανές προσθέτουν άλλον έναν πάροχο. Η ενσωμάτωση ώρας του hypervisor είναι νόμιμη πηγή σε πολλά σχέδια, αλλά ο ρόλος της πρέπει να επιλέγεται συνειδητά και να συντονίζεται με την πολιτική τομέα. Δύο πάροχοι που διαφωνούν παράγουν ένα ρολόι που φαίνεται σταθερό και είναι λάθος.

Κρατήστε την πολιτική μελών χωριστά από την αρχή

Η συνήθης ρύθμιση μέλους και η ρύθμιση του έγκυρου διακομιστή είναι διαφορετικά προβλήματα με διαφορετικό έλεγχο αλλαγών. Η ανάμειξή τους είναι ο τρόπος με τον οποίο μια συνηθισμένη αλλαγή πολιτικής φορητού καταλήγει να αλλάζει την αναφορά για ολόκληρο το δάσος.

Γράψτε το αρχείο απόφασης ως τέσσερις γραμμές: την έγκυρη πηγή, την ιεραρχία που τη μεταφέρει, τη συμπεριφορά περιαγωγής και την εντολή που αποδεικνύει την κατάσταση σε μια συσκευή. Αν οι τρεις πρώτες είναι τεκμηριωμένες και η τέταρτη επαναλήψιμη, μια αποτυχία σύνδεσης σχετική με τον χρόνο γίνεται έλεγχος πέντε λεπτών αντί για κυνήγι στα αρχεία καταγραφής του VPN.