چرا VPN ساعت لپ‌تاپ متصل به دامنه را درست نمی‌کند

کارمند راه دور VPN را وصل می‌کند، تونل بالا می‌آید و ورودها با خطای احراز هویتی که به زمان اشاره دارد شکست می‌خورند. هیچ چیز در تونل خراب نیست. VPN بسته‌ها را میان شبکه‌ها حمل می‌کند؛ اما به دو دستگاه ساعت مشترک نمی‌دهد، و احراز هویت دامنه، اعتبارسنجی گواهی و همبستگی گزارش‌های حسابرسی همه به ساعت‌هایی وابسته‌اند که به‌اندازه کافی هم‌خوان باشند. از این سه تصمیم برمی‌آید: مالک زمان در دامنه کیست، دستگاه در واقع از چه چیزی استفاده می‌کند، و هنگام رومینگ دستگاه چه رخ می‌دهد.

مسیر ساعت نیست

احراز هویت Kerberos داده‌های حساس به زمان را دربر می‌گیرد و درخواست‌های بیرون از یک تلورانس پیکربندی‌شده را رد می‌کند که در دامنه‌های Windows به‌طور پیش‌فرض پنج دقیقه است. گواهی‌ها بازه‌های اعتبار دارند، بنابراین دستگاهی که ساعتش به‌اندازه کافی جلو باشد گواهی معتبر را هنوز معتبرنشده می‌پندارد. گزارش‌های حسابرسی چند دستگاه تنها وقتی همبسته می‌شوند که ساعت‌هایشان نزدیک باشد، و این نخستین بار که بازبینی یک رخداد می‌پرسد ابتدا چه شد اهمیت دارد.

این سه وابستگی مستقل از تونل‌اند. برپا کردن VPN دسترسی‌پذیری را تغییر می‌دهد، و دسترسی‌پذیری همان چیزی است که به دستگاه امکان یافتن منبع زمان را می‌دهد؛ خودِ منبع نیست.

منطقه زمانی نمایش‌داده‌شده را از خود ساعت جدا نگه دارید. دو لپ‌تاپ که ساعت‌های محلی متفاوت نشان می‌دهند می‌توانند کاملاً هم‌زمان باشند، و دو لپ‌تاپ که ساعت یکسان نشان می‌دهند اگر تنظیمات منطقه زمانی‌شان متفاوت باشد ممکن است دقایقی اختلاف داشته باشند. تغییر منطقه زمانی تعمیر ساعت نادرست نیست، و عقب بردن تاریخ برای کارکردن یک گواهی منقضی همه بررسی‌های دیگر وابسته به زمان روی دستگاه را می‌شکند.

مشخص کنید مالک زمان در دامنه کیست

اعضای Windows متصل به دامنه معمولاً به‌جای پرسیدن از یک سرور عمومی در هر بار، از سلسله‌مراتب زمان Active Directory پیروی می‌کنند. این زنجیره به شبیه‌ساز PDC ریشه جنگل می‌رسد که مرجع آن منبع معتبر سازمان است.

دو شرط مرجع را تعیین می‌کند: اینکه سیاست یک سرویس زمان بیرونی را مجاز می‌داند یا نه، و اینکه شبکه می‌تواند از هر سایت به‌طور مطمئن به یک منبع داخلی تأییدشده برسد یا نه. اگر هر دو روشن نباشد، پاسخ عملی نگه‌داشتن سلسله‌مراتب و اصلاح دسترسی‌پذیری است، نه اشاره دادن کلاینت‌ها به یک استخر عمومی. شرط سومی مسیر خطا را تعیین می‌کند: دستگاه وقتی هیچ‌یک از منابع در دسترس نیست چه باید بکند. روشن کردن این پیش از موعد از تعمیر فی‌البداهه یعنی سنجاق کردن یک سرور عمومی روی یک لپ‌تاپ جلوگیری می‌کند.

این انتخاب به مدیران دامنه و زمان تعلق دارد، نه به طراحی دسترسی راه دور. لپ‌تاپی که خود را مرجع زمان مطمئن پیکربندی می‌کند معماری دیگری است و به‌ندرت همانی است که بازبینی امنیتی تأیید کرده است.

بخوانید دستگاه در واقع از چه چیزی استفاده می‌کند

دو فرمان فقط‌خواندنی وضعیت کنونی را روی یک دستگاه Windows مدیریت‌شده مستند می‌کنند و ارزش دارد پیش و پس از یک تغییر ثبت شوند:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

منبع انتخاب‌شده، آخرین همگام‌سازی موفق و شناسه لایه یا مرجع را در کنار سیاست مدیریت دستگاه یادداشت کنید. یک همگام‌سازی دستی موفق ثابت می‌کند فرمان کار می‌کند، نه اینکه سیاست از یک راه‌اندازی مجدد یا تغییر نقش جان سالم به در می‌برد.

اگر منبع ساعت محلی CMOS را نشان دهد، دستگاه اصلاً همگام نمی‌شود، که معمولاً یعنی کنترل‌کننده دامنه هنگام بوت در دسترس نبوده یا سرویس زمان با سیاست غیرفعال شده است. اگر سرور عمومی نشان دهد، چیزی بیرون از سلسله‌مراتب دامنه پیروز می‌شود، و این پرسشی درباره سیاست است نه شبکه.

مشخص کنید هنگام رومینگ چه رخ می‌دهد

در حالت قطع، دستگاه به ساعت محلی خود و هر ارائه‌دهنده زمانی که می‌تواند به آن برسد تکیه می‌کند. لپ‌تاپ‌ها رانش می‌کنند، و دستگاهی که هفته‌ها آفلاین بوده می‌تواند به‌اندازه کافی منحرف شود که نخستین درخواست Kerberos پس از اتصال مجدد شکست بخورد.

هنگام اتصال مجدد، دستگاه به کشف دامنه و مسیر موردنظر سرویس زمان نیاز دارد، نه فقط مسیری به یک اشتراک فایل. این را با راه‌اندازی مجدد خارج از شبکه، اتصال VPN و خواندن دوباره منبع بیازمایید، نه با فرض اینکه سلسله‌مراتب خود را بازاستوار کرده است.

ماشین‌های مجازی ارائه‌دهنده دیگری می‌افزایند. یکپارچه‌سازی زمان هایپروایزر در بسیاری از طراحی‌ها منبعی مشروع است، اما نقش آن باید آگاهانه انتخاب و با سیاست دامنه هماهنگ شود. دو ارائه‌دهنده ناهمخوان ساعتی می‌سازند که پایدار به نظر می‌رسد و نادرست است.

سیاست اعضا را از مرجع جدا نگه دارید

پیکربندی عضو عادی و پیکربندی سرور معتبر دو مسئله متفاوت با کنترل تغییر متفاوت‌اند. آمیختن آن‌ها همان راهی است که یک تغییر روتین سیاست لپ‌تاپ در نهایت مرجع کل جنگل را تغییر می‌دهد.

سابقه تصمیم را در چهار خط بنویسید: منبع معتبر، سلسله‌مراتبی که آن را حمل می‌کند، رفتار رومینگ، و فرمانی که وضعیت را روی دستگاه اثبات می‌کند. اگر سه مورد نخست مستند و چهارمی تکرارپذیر باشد، یک شکست ورود مرتبط با زمان به بررسی پنج‌دقیقه‌ای تبدیل می‌شود نه جست‌وجو در گزارش‌های VPN.