Zergatik VPN batek ez duen domeinura lotutako ordenagailu eramangarriaren erlojua konpontzen

Urrutiko langile batek VPN-a konektatzen du, tunela altxatzen da, eta saio-hasierak huts egiten hasten dira ordua aipatzen duen autentifikazio-errore batekin. Tunelarekin ez dago ezer hondatuta. VPN batek paketeak garraiatzen ditu sareen artean; ez die bi makinari erloju komun bat ematen, eta domeinuaren autentifikazioa, ziurtagirien egiaztapena eta auditoretza-korrelazioa nahikoa bat datozen erlojuen mende daude. Horetatik hiru erabaki datoz: domeinuan orduaren jabe nor den, gailuak benetan zer erabiltzen duen eta gailua ibiltzen ari den bitartean zer gertatzen den.

Bide bat ez da erloju bat

Kerberos autentifikazioak denborarekiko sentikorrak diren datuak biltzen ditu eta konfiguratutako tolerantziaz kanpoko eskaerak baztertzen ditu, Windows domeinuetan lehenespenez bost minutu dena. Ziurtagiriek balio-epeak dituzte, beraz, erlojua nahikoa aurreratuta duen gailu batek baliozko ziurtagiri bat oraindik baliozkoa ez balitz bezala tratatzen du. Hainbat makinatako auditoretza-erregistroak haien erlojuak hurbil daudenean soilik erlazionatzen dira, eta hori garrantzitsua da intzidentzia-berrikuspen batek lehenengo aldiz zer gertatu zen lehenago galdetzen duenean.

Hiru mendekotasun horiek tunelarekiko independenteak dira. VPN bat altxatzeak irisgarritasuna aldatzen du, eta irisgarritasuna da gailu batek denbora-iturri bat aurkitzeko aukera ematen duena; ez da iturria.

Eduki erakutsitako ordu-zona erlojutik bereizita. Tokiko ordu desberdinak erakusten dituzten bi ordenagailu eramangarri guztiz sinkronizatuta egon daitezke, eta ordu bera erakusten duten bi ordenagailuk minutu batzuetan desberdindu daitezke haien ordu-zonaren ezarpenak desberdinak badira. Ordu-zona aldatzea ez da erloju oker baten konponketa, eta data atzera botatzea iraungitako ziurtagiri bat funtziona dezan makinako denboraren mende dauden gainerako egiaztapen guztiak hausten ditu.

Erabaki domeinuan orduaren jabe nor den

Domeinura lotutako Windows kideak normalean Active Directoryren denbora-hierarkiari jarraitzen diote, aldi bakoitzean zerbitzari publiko bat galdetu beharrean. Kate hori basoaren erroaren PDC emuladorearekin amaitzen da, eta haren erreferentzia da erakundearen iturri autorizatua.

Bi baldintzak erabakitzen dute erreferentzia: politikak kanpoko denbora-zerbitzu bat baimentzen duen eta sareak gune bakoitzetik onartutako barne-iturri batera modu fidagarrian iristen den. Biak argi ez badaude, erantzun praktikoa hierarkia osorik mantentzea eta irisgarritasuna konpontzea da, bezeroak igerileku publiko batera bideratu beharrean. Hirugarren baldintza batek hutsegitearen bidea erabakitzen du: zer egin behar duen gailuak iturri bakar bat ere iristen ez denean. Hori aldez aurretik erabakitzeak saihesten du zerbitzari publiko bat ordenagailu eramangarri bakarrean iltzatzeko konponketa inprobisatua.

Aukera hori domeinuaren eta denboraren administratzaileei dagokie, ez urruneko sarbidearen diseinuari. Bere burua denbora-autoritate fidagarri gisa konfiguratzen duen ordenagailu eramangarri bat beste arkitektura bat da, eta gutxitan da segurtasun-berrikuspenak onartu zuen arkitektura.

Irakurri gailuak benetan zer erabiltzen duen

Irakurtzeko soilik diren bi komandok Windows gailu kudeatu bateko uneko egoera dokumentatzen dute, eta merezi du aldaketaren aurretik eta ondoren jasotzea:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Idatz itzazu hautatutako iturria, azken sinkronizazio arrakastatsua eta stratum edo erreferentzia-identifikatzailea gailuaren kudeaketa-politikaren ondoan. Eskuzko sinkronizazio arrakastatsu batek komandoa funtzionatzen duela frogatzen du, ez politikak berrabiarazte bat edo rol-aldaketa bat gainditzen duenik.

Iturriak tokiko CMOS erlojua erakusten badu, gailuak ez du batere sinkronizatzen, eta horrek normalean esan nahi du domeinu-kontrolatzailea ez zegoela eskuragarri abioan edo denbora-zerbitzua politikaz desgaituta zegoela. Zerbitzari publiko bat erakusten badu, domeinu-hierarkiatik kanpoko zerbait ari da irabazten, eta hori politika-kontua da, ez sare-kontua.

Erabaki zer gertatzen den ibiltzen ari denean

Deskonektatuta dagoenean, gailua bere erloju lokalean eta irits daitekeen denbora-hornitzaileetan oinarritzen da. Ordenagailu eramangarriak desbideratu egiten dira, eta asteak lineaz kanpo egon den gailu bat nahikoa desbideratu daiteke berrikonektatu ondorengo lehen Kerberos eskaerak huts egiteko.

Berrikonektatzean, gailuak domeinuaren aurkikuntza eta denbora-zerbitzuaren aurreikusitako bidea behar ditu, ez soilik fitxategi-partekatze baterako bidea. Egiaztatu hori sareaz kanpo berrabiaraziz, VPN-a konektatuz eta iturria berriro irakurriz, hierarkiak bere burua berrezarri duela suposatu beharrean.

Makina birtualek beste hornitzaile bat gehitzen dute. Hypervisorraren denbora-integrazioa iturri legitimo bat da diseinu askotan, baina haren rola nahita aukeratu eta domeinu-politikarekin koordinatu behar da. Ados ez dauden bi hornitzailek erloju egonkorra ematen dute, okerra izanik.

Eduki kideen politika autoritatetik bereizita

Kide arrunt baten konfigurazioa eta zerbitzari autorizatuarena arazo desberdinak dira, aldaketa-kontrol desberdinekin. Hauek nahastea da ohiko ordenagailu eramangarri baten politika-aldaketa batek baso osoaren erreferentzia aldatzea amaitzeko modua.

Idatz itzazu erabakiaren erregistroa lau lerrotan: iturri autorizatua, hura garraiatzen duen hierarkia, ibiltzeko portaera eta gailuan egoera frogatzen duen komandoa. Lehenengo hirurak dokumentatuta badaude eta laugarrena errepikagarria bada, denborarekin lotutako saio-hasieraren hutsegite bat bost minutuko egiaztapen bihurtzen da, VPNren erregistroetan ehiza baten ordez.