Miks VPN ei paranda domeeniga liidetud sülearvuti kella

Kaugtöötaja ühendab VPN-i, tunnel tõuseb ja sisselogimised hakkavad ebaõnnestuma autentimisveaga, mis mainib aega. Tunnelis pole midagi katki. VPN kannab pakette võrkude vahel; see ei anna kahele masinale ühist kella ning domeeni autentimine, sertifikaatide valideerimine ja auditi korreleerimine sõltuvad kõik kelladest, mis langevad piisavalt kokku. Sellest tuleneb kolm otsust: kellele kuulub domeenis aeg, mida seade tegelikult kasutab ja mis juhtub, kui seade rändab.

Tee ei ole kell

Kerberose autentimine sisaldab ajatundlikke andmeid ja lükkab tagasi taotlused, mis jäävad väljapoole seadistatud tolerantsi, mis on Windowsi domeenides vaikimisi viis minutit. Sertifikaatidel on kehtivusvahemikud, nii et seade, mille kell on piisavalt ees, käsitleb kehtivat sertifikaati veel mittekehtivana. Mitme masina auditi kirjed korreleeruvad ainult siis, kui nende kellad on lähedased, ja see loeb esimesel korral, kui intsidendi ülevaatus küsib, mis juhtus enne.

Need kolm sõltuvust on tunnelist sõltumatud. VPN-i tõstmine muudab kättesaadavust ja kättesaadavus on see, mis lubab seadmel ajakõvera leida; see ei ole allikas.

Hoidke kuvatav ajavöönd kellast endast eraldi. Kaks sülearvutit, mis näitavad erinevat kohalikku aega, võivad olla täiuslikult sünkroonitud, ja kaks, mis näitavad sama tundi, võivad erineda minutite võrra, kui nende ajavööndi seaded erinevad. Ajavööndi muutmine ei ole vale kella parandus ja kuupäeva tagasi nihutamine, et aegunud sertifikaat töötaks, rikub masina kõik muud ajast sõltuvad kontrollid.

Otsustage, kellele kuulub domeenis aeg

Domeeniga liidetud Windowsi liikmed järgivad tavaliselt Active Directory ajahierarhiat, selle asemel et iga kord avalikku serverit küsida. See kett lõpeb metsa juure PDC-emulaatoril, mille viide on organisatsiooni autoriteetne allikas.

Viite otsustavad kaks tingimust: kas poliitika lubab välist ajateenust ja kas võrk pääseb igast saidist usaldusväärselt kinnitatud sisemisele allikale. Kui mõlemad on ebaselged, on praktiline vastus hoida hierarhia puutumatuna ja parandada kättesaadavus, mitte suunata kliente avalikku basseini. Kolmas tingimus otsustab tõrke tee: mida peaks seade tegema, kui kumbki allikas pole kättesaadav. Selle eelnev otsustamine väldib improviseeritud parandust, kus avalik server ühele sülearvutile kinnitatakse.

See valik kuulub domeeni- ja ajaadministraatoritele, mitte kaugjuurdepääsu disainile. Sülearvuti, mis seadistab end usaldusväärseks ajaautoriteediks, on teine arhitektuur ja harva see, mille turvakontroll heaks kiitis.

Lugege, mida seade tegelikult kasutab

Kaks ainult lugemiseks mõeldud käsku dokumenteerivad praegust olekut hallataval Windowsi seadmel ja need tasub fikseerida enne muudatust ja pärast seda:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Märkige valitud allikas, viimane edukas sünkroonimine ja stratum või viite identifikaator seadme halduspoliitika kõrvale. Üks edukas käsitsi sünkroonimine tõestab, et käsk töötab, mitte et poliitika peab vastu taaskäivitusele või rollimuutusele.

Kui allikas näitab kohalikku CMOS-kella, ei sünkrooni seade üldse, mis tavaliselt tähendab, et domeenikontroller polnud alglaadimisel kättesaadav või ajateenus keelati poliitikaga. Kui see näitab avalikku serverit, võidab midagi väljaspool domeeni hierarhiat, ja see on poliitika, mitte võrgu küsimus.

Otsustage, mis juhtub rändluse ajal

Ühenduseta olles toetub seade oma kohalikule kellale ja kõigile ajapakkujatele, kelleni see pääseb. Sülearvutid triivivad ja nädalaid võrguühenduseta olnud seade võib triivida piisavalt, et uuesti ühendumisel esimene Kerberose taotlus ebaõnnestuks.

Uuesti ühendumisel vajab seade domeeni avastamist ja kavandatud ajateenuse teed, mitte ainult marsruuti failijaguni. Testige seda, käivitades seadme väljaspool võrku uuesti, ühendades VPN-i ja lugedes allikat uuesti, selle asemel et eeldada, et hierarhia taastas end ise.

Virtuaalmasinad lisavad veel ühe pakkuja. Hüperviisori aja integreerimine on paljudes disainides seaduslik allikas, kuid selle roll tuleks valida teadlikult ja kooskõlastada domeenipoliitikaga. Kaks eriarvamusel pakkujat annavad kella, mis näib stabiilne ja on vale.

Hoidke liikmepoliitika autoriteedist eraldi

Tavaline liikme konfiguratsioon ja autoriteetse serveri konfiguratsioon on erinevad probleemid erineva muudatuste kontrolliga. Nende segamine on viis, kuidas rutiinne sülearvuti poliitika muudatus lõpuks muudab viidet kogu metsale.

Kirjutage otsus nelja reana: autoriteetne allikas, seda kandev hierarhia, rändluse käitumine ja käsk, mis tõestab olekut seadmel. Kui kolm esimest on dokumenteeritud ja neljas korratav, muutub ajaga seotud sisselogimise tõrge viie minuti kontrolliks, mitte VPN-i logide läbivaatamiseks.