Kial VPN ne riparas la horloĝon de domajna tekkomputilo

Fora laboranto konektas la VPN-on, la tunelo ekfunkcias, kaj salutoj komencas malsukcesi per aŭtentiga eraro, kiu mencias tempon. Nenio en la tunelo estas difektita. VPN portas pakaĵojn inter retoj; ĝi ne donas al du maŝinoj komunan horloĝon, kaj domajna aŭtentigo, atestila validigo kaj revizia kunligado ĉiuj dependas de horloĝoj, kiuj kongruas sufiĉe proksime. El tio sekvas tri decidoj: kiu posedas la tempon en la domajno, kion la aparato efektive uzas, kaj kio okazas dum la aparato migras.

Vojo ne estas horloĝo

Kerberos-aŭtentigo enhavas temp-sentemajn datumojn kaj malakceptas petojn ekster agordita toleremo, kiu estas defaŭlte kvin minutoj en Windows-domajnoj. Atestiloj havas validajn intervalojn, do aparato, kies horloĝo antaŭas sufiĉe, traktas validan atestilon kiel ankoraŭ ne validan. Reviziaj rikordoj el pluraj maŝinoj kunligiĝas nur se iliaj horloĝoj estas proksimaj, kaj tio gravas la unuan fojon, kiam incidenta revizio demandas, kio okazis unue.

Tiuj tri dependecoj estas sendependaj de la tunelo. Starigi VPN-on ŝanĝas atingeblon, kaj atingeblo estas tio, kio ebligas al aparato trovi tempfonton; ĝi ne estas la fonto.

Tenadu la montratan horzonon aparte de la horloĝo mem. Du tekkomputiloj montrantaj malsamajn lokajn horojn povas esti perfekte sinkronigitaj, kaj du montrantaj la saman horon povas malkonsenti pri minutoj, se iliaj horzonaj agordoj diferencas. Ŝanĝi la horzonon ne estas riparo de malĝusta horloĝo, kaj movi daton malantaŭen por ke eksvalidiĝinta atestilo funkciu rompas ĉiun alian temp-dependan kontrolon en la maŝino.

Decidu kiu posedas la tempon en la domajno

Domajnaj Windows-membroj kutime sekvas la temp-hierarkion de Active Directory anstataŭ demandi publikan servilon ĉiufoje. Tiu ĉeno finiĝas ĉe la PDC-emulo de la arbarradiko, kies referenco estas la aŭtoritata fonto de la organizo.

Du kondiĉoj decidas la referencon: ĉu politiko permesas eksteran temp-servon, kaj ĉu la reto povas fidinde atingi aprobitan internan fonton el ĉiu ejo. Se ambaŭ neklaras, la praktika respondo estas teni la hierarkion sendifekta kaj ripari atingeblon anstataŭ direkti klientojn al publika baseno. Tria kondiĉo decidas la fiaskovojon: kion la aparato faru, kiam neniu fonto atingeblas. Solvi tion anticipe evitas la improvizitan riparon de fiksado de publika servilo sur unu tekkomputilo.

Tiu elekto apartenas al la domajnaj kaj tempaj administrantoj, ne al la dezajno de fora aliro. Tekkomputilo, kiu agordas sin kiel fidindan tempan aŭtoritaton, estas alia arkitekturo, kaj malofte estas tiu, kiun aprobis la sekureca revizio.

Legu, kion la aparato efektive uzas

Du nurlegaj komandoj dokumentas la nunan staton sur administrata Windows-aparato, kaj indas registri ilin antaŭ kaj post ŝanĝo:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Notu la elektitan fonton, la lastan sukcesan sinkronigon kaj la stratum aŭ referencan identigilon apud la administra politiko de la aparato. Unu sukcesa manplena sinkronigo pruvas, ke la komando funkcias, ne ke la politiko postvivas restartigon aŭ rolan ŝanĝon.

Se la fonto montras la lokan CMOS-horloĝon, la aparato tute ne sinkronigas, kio kutime signifas, ke la domajna regilo ne estis atingebla ĉe lanĉo aŭ ke la temp-servo estis malŝaltita per politiko. Se ĝi montras publikan servilon, io ekster la domajna hierarkio venkas, kaj tio estas politika demando, ne reta.

Decidu kio okazas dum migrado

Dum malkonektite, aparato fidas sian lokan horloĝon kaj ĉiujn temp-provizantojn, kiujn ĝi povas atingi. Tekkomputiloj drivas, kaj aparato, kiu estis eksterrete dum semajnoj, povas drivi sufiĉe por malsukcesi la unuan Kerberos-peton post rekonekto.

Ĉe rekonekto, la aparato bezonas domajnan malkovron kaj la celitan vojon de la temp-servo, ne nur vojon al dosierpartumo. Testu tion per restartigo ekster la reto, konekto al la VPN kaj relegado de la fonto, anstataŭ supozi, ke la hierarkio reasertis sin.

Virtualaj maŝinoj aldonas plian provizanton. La tempa integriĝo de la hipervizoro estas laŭleĝa fonto en multaj dezajnoj, sed ĝia rolo devas esti elektita konscie kaj kunordigita kun la domajna politiko. Du provizantoj malkonsentaj produktas horloĝon, kiu aspektas stabila kaj estas malĝusta.

Tenadu membran politikon aparte de la aŭtoritato

Ordinara membra agordo kaj la agordo de la aŭtoritata servilo estas malsamaj problemoj kun malsama ŝanĝkontrolo. Miksi ilin estas la maniero, kiel rutina tekkomputila politika ŝanĝo finas ŝanĝante la referencon por la tuta arbaro.

Skribu la decidprotokolon kiel kvar linioj: la aŭtoritata fonto, la hierarkio, kiu portas ĝin, la konduto dum migrado, kaj la komando, kiu pruvas la staton sur aparato. Se la unuaj tri estas dokumentitaj kaj la kvara ripetebla, temp-rilata saluta fiasko fariĝas kvin-minuta kontrolo anstataŭ ĉasado tra VPN-protokoloj.