Miksi VPN ei korjaa toimialueeseen liitetyn kannettavan kelloa

Etätyöntekijä yhdistää VPN:n, tunneli nousee ja kirjautumiset alkavat epäonnistua todennusvirheellä, joka mainitsee ajan. Tunnelissa ei ole mitään rikki. VPN kuljettaa paketteja verkkojen välillä; se ei anna kahdelle koneelle yhteistä kelloa, ja toimialueen todennus, varmenteiden validointi ja audit-lokien korrelointi riippuvat kaikki kelloista, jotka ovat riittävän lähellä toisiaan. Siitä seuraa kolme päätöstä: kenelle aika toimialueella kuuluu, mitä laite todella käyttää ja mitä tapahtuu, kun laite roamingoi.

Polku ei ole kello

Kerberos-todennus sisältää aikaherkkiä tietoja ja hylkää pyynnöt, jotka jäävät määritetyn toleranssin ulkopuolelle, joka on Windows-toimialueilla oletuksena viisi minuuttia. Varmenteilla on voimassaolovälit, joten laite, jonka kello on riittävästi edellä, pitää kelvollista varmennetta vielä kelpaamattomana. Usean koneen audit-tietueet korreloivat vain, jos niiden kellot ovat lähellä toisiaan, ja sillä on merkitystä ensimmäisen kerran, kun poikkeaman katselmus kysyy, mitä tapahtui ensin.

Nuo kolme riippuvuutta ovat tunnelista riippumattomia. VPN:n nostaminen muuttaa tavoitettavuutta, ja tavoitettavuus on se, mikä auttaa laitetta löytämään aikälähteen; se ei ole lähde.

Pidä näytetty aikavyöhyke erillään itse kellosta. Kaksi kannettavaa, jotka näyttävät eri paikallista aikaa, voivat olla täysin synkronissa, ja kaksi, jotka näyttävät saman tunnin, voivat poiketa minuuteilla, jos niiden aikavyöhykeasetukset eroavat. Aikavyöhykkeen vaihtaminen ei ole väärän kellon korjaus, ja päivämäärän siirtäminen taaksepäin vanhentuneen varmenteen toimimiseksi rikkoo jokaisen muun koneen aikariippuvaisen tarkistuksen.

Päättäkää, kenelle aika toimialueella kuuluu

Toimialueeseen liitetyt Windows-jäsenet seuraavat yleensä Active Directoryn aikahierarkiaa sen sijaan, että kysyisivät julkista palvelinta joka kerta. Tämä ketju päättyy metsän juuren PDC-emulaattoriin, jonka viite on organisaation valtuutettu lähde.

Kaksi ehtoa ratkaisee viitteen: sallitaanko käytännössä ulkoinen aikapalvelu ja pääseekö verkko luotettavasti hyväksyttyyn sisäiseen lähteeseen jokaisesta toimipisteestä. Jos molemmat ovat epäselviä, käytännön vastaus on pitää hierarkia ehjänä ja korjata tavoitettavuus sen sijaan, että asiakkaat ohjattaisiin julkiseen pooliin. Kolmas ehto ratkaisee virhetien: mitä laitteen pitäisi tehdä, kun kumpaankaan lähteeseen ei päästä. Sen selvittäminen etukäteen välttää improvisoidun korjauksen, jossa julkinen palvelin kiinnitetään yhteen kannettavaan.

Tämä valinta kuuluu toimialueen ja ajan ylläpitäjille, ei etäkäytön suunnitteluun. Kannettava, joka määrittää itsensä luotettavaksi auktoriteetiksi ajalle, on eri arkkitehtuuri, ja harvoin se, jonka tietoturvakatselmus hyväksyi.

Lukekaa, mitä laite todella käyttää

Kaksi vain luku -komentoa dokumentoivat nykyisen tilan hallitulla Windows-laitteella, ja ne kannattaa tallentaa ennen muutosta ja sen jälkeen:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Kirjatkaa valittu lähde, viimeisin onnistunut synkronointi sekä stratum tai viitetunniste laitteen hallintakäytännön viereen. Yksi onnistunut manuaalinen synkronointi todistaa, että komento toimii, ei sitä, että käytäntö kestää uudelleenkäynnistyksen tai roolimuutoksen.

Jos lähde näyttää paikallisen CMOS-kellon, laite ei synkronoi lainkaan, mikä yleensä tarkoittaa, ettei toimialueen ohjain ollut tavoitettavissa käynnistyksessä tai aikapalvelu poistettiin käytöstä käytännöllä. Jos se näyttää julkisen palvelimen, jotain toimialueen hierarkian ulkopuolelta voittaa, ja se on käytäntökysymys, ei verkkokysymys.

Päättäkää, mitä tapahtuu roamingin aikana

Yhteydettömänä laite nojaa paikalliseen kelloonsa ja kaikkiin aikapalveluihin, joihin se pääsee. Kannettavat ajautuvat, ja viikkoja offline ollut laite voi ajautua niin kauas, että ensimmäinen Kerberos-pyyntö uudelleenyhdistämisen jälkeen epäonnistuu.

Uudelleenyhdistämisessä laite tarvitsee toimialueen löytämisen ja aiottuun aikapalveluun johtavan polun, ei vain reittiä tiedostojakoon. Testatkaa se käynnistämällä laite uudelleen verkon ulkopuolella, yhdistämällä VPN ja lukemalla lähde uudelleen sen sijaan, että olettaisitte hierarkian palauttaneen itsensä.

Virtuaalikoneet lisäävät yhden tarjoajan. Hypervisorin aikaintegraatio on monissa suunnitelmissa laillinen lähde, mutta sen rooli pitää valita tietoisesti ja sovittaa yhteen toimialueen käytännön kanssa. Kaksi eri mieltä olevaa tarjoajaa tuottaa kellon, joka näyttää vakaalta ja on väärä.

Pitkää jäsenkäytäntö erillään auktoriteetista

Tavallinen jäsenkokoonpano ja valtuutetun palvelimen kokoonpano ovat eri ongelmia, joilla on eri muutoksenhallinta. Niiden sekoittaminen on tapa, jolla rutiininomainen kannettavan käytäntömuutos lopulta muuttaa koko metsän viitettä.

Kirjoittakaa päätös neljänä rivinä: valtuutettu lähde, sitä kantava hierarkia, roaming-käyttäytyminen ja komento, joka todistaa tilan laitteella. Jos kolme ensimmäistä on dokumentoitu ja neljäs toistettavissa, aikaan liittyvä kirjautumisvirhe muuttuu viiden minuutin tarkistukseksi VPN-lokien läpikäynnin sijaan.