למה VPN לא מתקן את השעון של מחשב נייד שמצורף לתחום

עובד מרוחק מתחבר ל-VPN, המנהרה עולה, וההתחברויות מתחילות להיכשל בשגיאת אימות שמזכירה זמן. שום דבר במנהרה לא שבור. VPN מעביר מנות בין רשתות; הוא לא נותן לשני מחשבים שעון משותף, ואימות תחום, אימות תעודות וקישור רשומות ביקורת תלויים כולם בשעונים שמסכימים קרוב מספיק. מכאן נובעות שלוש החלטות: מי הבעלים של הזמן בתחום, מה המכשיר באמת משתמש בו, ומה קורה בזמן שהמכשיר נודד.

נתיב אינו שעון

אימות Kerberos כולל נתונים רגישים לזמן ודוחה בקשות שמחוץ לסבילות מוגדרת, שהיא חמש דקות כברירת מחדל בתחומי Windows. לתעודות יש טווחי תוקף, ולכן מכשיר ששעונו מקדים מספיק מתייחס לתעודה תקפה כאל כזו שעדיין אינה תקפה. רשומות ביקורת ממחשבים אחדים מקושרות רק אם השעונים שלהם קרובים, וזה חשוב בפעם הראשונה שסקירת תקרית שואלת מה קרה קודם.

שלוש התלויות האלה אינן תלויות במנהרה. העלאת VPN משנה את הנגישות, והנגישות היא מה שמאפשר למכשיר למצוא מקור זמן; היא אינה המקור.

הפרידו בין אזור הזמן המוצג לבין השעון עצמו. שני מחשבים ניידים שמציגים שעות מקומיות שונות יכולים להיות מסונכרנים לגמרי, ושניים שמציגים את אותה שעה יכולים לחלוק בדקות אם הגדרות אזור הזמן שלהם שונות. שינוי אזור הזמן אינו תיקון של שעון שגוי, והזזת תאריך אחורה כדי שתעודה שפגה תעבוד שוברת כל בדיקה אחרת במחשב שתלויה בזמן.

החליטו מי הבעלים של הזמן בתחום

חברי Windows שמצורפים לתחום פועלים בדרך כלל לפי היררכיית הזמן של Active Directory במקום לשאול שרת ציבורי בכל פעם. השרשרת הזו מסתיימת במנהל האמולציה של PDC בשורש היער, שההפניה שלו היא המקור הסמכותי של הארגון.

שני תנאים מכריעים את ההפניה: אם המדיניות מתירה שירות זמן חיצוני, ואם הרשת מצליחה להגיע באופן מהימן למקור פנימי מאושר מכל אתר. אם שניהם לא ברורים, התשובה המעשית היא להשאיר את ההיררכיה שלמה ולתקן את הנגישות במקום להפנות לקוחות למאגר ציבורי. תנאי שלישי מכריע את נתיב הכשל: מה המכשיר אמור לעשות כשאף אחד מהמקורות אינו נגיש. הכרעה מראש בכך מונעת את התיקון המאולתר של נעיצת שרת ציבורי במחשב נייד אחד.

הבחירה הזו שייכת למנהלי התחום והזמן, לא לתכנון הגישה מרחוק. מחשב נייד שמגדיר את עצמו כרשות זמן מהימנה הוא ארכיטקטורה אחרת, ולעיתים נדירות זו שאושרה בסקירת האבטחה.

קראו מה המכשיר באמת משתמש בו

שתי פקודות לקריאה בלבד מתעדות את המצב הנוכחי במכשיר Windows מנוהל, וכדאי לתעד אותן לפני שינוי ואחריו:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

רשמו את המקור שנבחר, את הסנכרון המוצלח האחרון ואת ה-stratum או מזהה ההפניה לצד מדיניות הניהול של המכשיר. סנכרון ידני מוצלח אחד מוכיח שהפקודה עובדת, לא שהמדיניות שורדת אתחול או שינוי תפקיד.

אם המקור מציג את שעון ה-CMOS המקומי, המכשיר אינו מסתנכרן כלל, וזה בדרך כלל אומר שבקר התחום לא היה נגיש בעת האתחול או ששירות הזמן הושבת במדיניות. אם הוא מציג שרת ציבורי, משהו מחוץ להיררכיית התחום מנצח, וזו שאלת מדיניות ולא שאלת רשת.

החליטו מה קורה בנדידה

כשהמכשיר מנותק, הוא נשען על השעון המקומי שלו ועל ספקי זמן שהוא מצליח להגיע אליהם. מחשבים ניידים סוטים, ומכשיר שהיה לא מקוון שבועות יכול לסטות מספיק כדי להיכשל בבקשת Kerberos הראשונה לאחר ההתחברות מחדש.

בעת התחברות מחדש המכשיר זקוק לגילוי התחום ולנתיב המיועד של שירות הזמן, ולא רק למסלול לשיתוף קבצים. בדקו זאת באתחול מחוץ לרשת, בחיבור ל-VPN ובקריאה חוזרת של המקור, במקום להניח שההיררכיה השיבה את עצמה.

מכונות וירטואליות מוסיפות ספק נוסף. שילוב הזמן של ההיפרוויזר הוא מקור לגיטימי בתכנונים רבים, אך יש לבחור את תפקידו במכוון ולתאם אותו עם מדיניות התחום. שני ספקים שאינם מסכימים יוצרים שעון שנראה יציב והוא שגוי.

הפרידו את מדיניות החברים מהרשות

תצורת חבר רגילה ותצורת השרת הסמכותי הן בעיות שונות עם בקרת שינויים שונה. ערבוב שלהן הוא הדרך שבה שינוי מדיניות שגרתי במחשב נייד משנה בסופו של דבר את ההפניה לכל היער.

כתבו את רשומת ההחלטה בארבע שורות: המקור הסמכותי, ההיררכיה שנושאת אותו, ההתנהגות בנדידה, והפקודה שמוכיחה את המצב במכשיר. אם שלוש הראשונות מתועדות והרביעית ניתנת לחזרה, כשל התחברות שקשור לזמן הופך לבדיקה של חמש דקות במקום חיפוש ביומני VPN.