Wêrom in VPN de klok fan in oan it domein keppele laptop net reparearret

In meiwurker op ôfstân makket de VPN oan, de tunnel komt omheech en oanmeldingen begjinne te mislearjen mei in autentikaasjeflater dy't de tiid neamt. Oan de tunnel is neat stikken. In VPN ferfiert pakketten tusken netwurken; it jout twa masines gjin mienskiplike klok, en domeinautentikaasje, sertifikaatfalidaasje en auditkorrelaasje hingje allegear ôf fan klokken dy't neijend ticht genôch byinoar lizze. Dêrfandinne trije besluten: wa't de tiid yn it domein besit, wat it apparaat eins brûkt en wat der bart wylst it apparaat roamet.

In paad is gjin klok

Kerberos-autentikaasje befettet tiidgefoelige gegevens en wiist oanfragen ôf dy't bûten in konfigurearre tolerânsje falle, dy't yn Windows-domeinen standert fiif minuten is. Sertifikaten drage jildichheidsyntersjes, dat in apparaat wêrfan de klok fier genôch foarút is, behannelet in jildich sertifikaat as noch net jildich. Auditrecords fan ferskate masines korrelearje allinnich as har klokken ticht byinoar binne, en dat jildt de earste kear as in ynsidintbesjoch freget wat earst barde.

Dy trije ôfhinklikheden binne ûnôfhinklik fan de tunnel. In VPN omheech bringe feroaret berikberens, en berikberens is wat in apparaat in tiidboarne fine lit; it is net de boarne.

Hâld de toande tiidsône los fan de klok sels. Twa laptops dy't ferskillende pleatslike oeren toane kinne perfekt syngronisearre wêze, en twa dy't deselde oere toane kinne minuten ferskille as har tiidsône-ynstellings ferskille. De tiidsône feroarje is gjin reparaasje fan in ferkearde klok, en in datum weromsette om in ferfallen sertifikaat wurkje te litten brekt elke oare tiidôfhinklike kontrôle op 'e masine.

Bepaal wa't de tiid yn it domein besit

Oan it domein keppele Windows-leden folgje normaal de tiidhierargy fan Active Directory ynstee fan elke kear in iepenbiere tsjinner te freegjen. Dy keatling einiget by de PDC-emulator fan 'e boskwortel, waans referinsje de gesachhawwende boarne fan 'e organisaasje is.

Twa betingsten bepale de referinsje: oft belied in eksterne tiidtsjinst talit, en oft it netwurk fan elke lokaasje ôf betrouber in goedkarde ynterne boarne berikke kin. As beide ûndúdlik binne, is it praktykse antwurd de hierargy yntakt te hâlden en de berikberens te reparearjen ynstee fan kliïnten nei in iepenbiere pool te wizen. In tredde betingst bepaalt it flaterpaad: wat it apparaat dwaan moat as gjin fan beide boarnen berikber is. Dat foarôf besljochtsje foarkomt de ymprovisearre reparaasje fan in iepenbiere tsjinner op ien laptop fêstspykje.

Dy kar heart by de domein- en tiidbehearders, net by it ûntwerp fan ôfstânsbetriding. In laptop dy't himsels as betroubere tiidautoriteit konfigurearret is in oare arsjitektuer, en it is selden dy't de feiligensbesjoch goedkard hat.

Lês wat it apparaat eins brûkt

Twa allinnich-lêzen-opdrachten dokumintearje de hjoeddeistige tastân op in beheard Windows-apparaat, en it is de muoite wurdich se foar en nei in feroaring fêst te lizzen:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Notearje de keazen boarne, de lêste slagge syngronisaasje en de stratum of referinsje-identifikaasje njonken it behearspelied fan it apparaat. Ien slagge hânmjittige syngronisaasje bewiist dat de opdracht wurket, net dat it belied in werstart of in rolferoaring oerlibbet.

As de boarne de pleatslike CMOS-klok toant, syngronisearret it apparaat hielendal net, wat meastentiids betsjut dat de domeinbehearder by it opstarten net berikber wie of dat de tiidtsjinst troch belied útskeakele is. As it in iepenbiere tsjinner toant, wint eat bûten de domeinhierargy, en dat is in beliedsfraach, net in netwurkfraach.

Bepaal wat der bart by roaming

Wylst it apparaat loskeppele is, fertrout it op syn pleatslike klok en op alle tiidleveransiers dy't it berikke kin. Laptops driuwe, en in apparaat dat wiken offline west hat kin fier genôch ôfwike om de earste Kerberos-oanfraach nei it werferbinen te mislearjen.

By it werferbinen hat it apparaat domeinûntdekking en it bedoelde paad nei de tiidtsjinst nedich, net allinnich in rûte nei in triempart. Test dat troch bûten it netwurk wer te starten, de VPN oan te meitsjen en de boarne wer te lêzen ynstee fan oan te nimmen dat de hierargy himsels wer oprjochte hat.

Firtuele masines foegje noch in leveransier ta. Hypervisor-tiidyntegraasje is yn in protte ûntwerpen in legitime boarne, mar de rol derfan moat bewust keazen en mei domeinbelied ôfstimd wurde. Twa leveransiers dy't it net iens binne leverje in klok dy't stabyl liket en ferkeard is.

Hâld ledebelied los fan it gesach

Gewoane lidkonfiguraasje en de konfiguraasje fan 'e gesachhawwende tsjinner binne ferskillende problemen mei ferskillend feroaringsbehear. Se mingje is de manier wêrop in routineuze laptopbeliedsferoaring úteinlik de referinsje foar de hiele bosk feroaret.

Skriuw it beslút as fjouwer rigels: de gesachhawwende boarne, de hierargy dy't dy draacht, it gedrach by roaming en de opdracht dy't de tastân op in apparaat bewiist. As de earste trije dokumintearre binne en de fjirde werhelber, wurdt in tiidrelatearre oanmeldingsflater in kontrôle fan fiif minuten ynstee fan in jacht troch VPN-logs.