VPN डोमेन से जुड़े लैपटॉप की घड़ी ठीक क्यों नहीं करता

दूर से काम करने वाला कर्मचारी VPN जोड़ता है, टनल ऊपर आती है, और लॉगिन समय का उल्लेख करने वाली प्रमाणीकरण त्रुटि के साथ विफल होने लगते हैं। टनल में कुछ भी टूटा नहीं है। VPN नेटवर्कों के बीच पैकेट ले जाता है; यह दो मशीनों को साझा घड़ी नहीं देता, और डोमेन प्रमाणीकरण, प्रमाणपत्र सत्यापन तथा ऑडिट सहसंबंध सभी ऐसी घड़ियों पर निर्भर हैं जो पर्याप्त रूप से मेल खाती हों। इससे तीन निर्णय निकलते हैं: डोमेन में समय किसका है, डिवाइस वास्तव में क्या उपयोग कर रहा है, और डिवाइस के रोमिंग में रहते समय क्या होता है।

मार्ग घड़ी नहीं है

Kerberos प्रमाणीकरण में समय-संवेदनशील डेटा होता है और यह तय की गई सहनशीलता से बाहर के अनुरोधों को अस्वीकार करता है, जो Windows डोमेन में डिफ़ॉल्ट रूप से पाँच मिनट है। प्रमाणपत्रों में वैधता अवधि होती है, इसलिए जिस डिवाइस की घड़ी पर्याप्त आगे है वह वैध प्रमाणपत्र को अभी वैध नहीं मानता। कई मशीनों के ऑडिट रिकॉर्ड केवल तभी सहसंबद्ध होते हैं जब उनकी घड़ियाँ निकट हों, और यह पहली बार तब मायने रखता है जब कोई घटना समीक्षा पूछती है कि पहले क्या हुआ।

वे तीन निर्भरताएँ टनल से स्वतंत्र हैं। VPN ऊपर उठाना पहुँच बदलता है, और पहुँच ही वह चीज़ है जो डिवाइस को समय का स्रोत खोजने देती है; यह स्वयं स्रोत नहीं है।

दिखाया गया समय क्षेत्र घड़ी से अलग रखें। अलग स्थानीय समय दिखाने वाले दो लैपटॉप पूरी तरह समकालिक हो सकते हैं, और एक ही घंटा दिखाने वाले दो लैपटॉप यदि उनके समय क्षेत्र की सेटिंग अलग हों तो मिनटों में भिन्न हो सकते हैं। समय क्षेत्र बदलना गलत घड़ी की मरम्मत नहीं है, और समाप्त प्रमाणपत्र को चलाने के लिए तारीख पीछे करना मशीन की हर दूसरी समय-निर्भर जाँच को तोड़ देता है।

तय करें कि डोमेन में समय किसका है

डोमेन से जुड़े Windows सदस्य सामान्यतः हर बार सार्वजनिक सर्वर से पूछने के बजाय Active Directory की समय पदानुक्रम का पालन करते हैं। वह श्रृंखला वन के मूल के PDC एमुलेटर पर समाप्त होती है, जिसका संदर्भ संगठन का आधिकारिक स्रोत है।

दो शर्तें संदर्भ तय करती हैं: क्या नीति बाहरी समय सेवा की अनुमति देती है, और क्या नेटवर्क हर साइट से स्वीकृत आंतरिक स्रोत तक विश्वसनीय रूप से पहुँच सकता है। यदि दोनों अस्पष्ट हों, तो व्यावहारिक उत्तर यह है कि पदानुक्रम को अक्षुण्ण रखें और क्लाइंटों को सार्वजनिक पूल की ओर इंगित करने के बजाय पहुँच ठीक करें। तीसरी शर्त विफलता का मार्ग तय करती है: जब कोई भी स्रोत उपलब्ध न हो तो डिवाइस को क्या करना चाहिए। इसे पहले से तय कर लेना एक लैपटॉप पर सार्वजनिक सर्वर टाँकने के तात्कालिक उपाय से बचाता है।

वह चुनाव डोमेन और समय प्रशासकों का है, दूरस्थ पहुँच के डिज़ाइन का नहीं। जो लैपटॉप स्वयं को विश्वसनीय समय प्राधिकरण के रूप में कॉन्फ़िगर करता है वह दूसरी संरचना है, और शायद ही वह हो जिसे सुरक्षा समीक्षा ने मंजूरी दी हो।

पढ़ें कि डिवाइस वास्तव में क्या उपयोग कर रहा है

प्रबंधित Windows डिवाइस पर वर्तमान स्थिति को दो केवल-पढ़ने वाले आदेश प्रलेखित करते हैं, और बदलाव से पहले व बाद में उन्हें दर्ज करना उचित है:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

चुना गया स्रोत, अंतिम सफल समकालिकता और स्ट्रेटम या संदर्भ पहचानकर्ता को डिवाइस की प्रबंधन नीति के साथ लिख लें। एक सफल मैनुअल समकालिकता सिद्ध करती है कि आदेश काम करता है, यह नहीं कि नीति पुनःआरंभ या भूमिका परिवर्तन के बाद भी टिकती है।

यदि स्रोत स्थानीय CMOS घड़ी दिखाता है, तो डिवाइस बिल्कुल समकालिक नहीं हो रहा, जिसका अर्थ सामान्यतः यह है कि डोमेन नियंत्रक बूट के समय पहुँच में नहीं था या समय सेवा नीति द्वारा अक्षम थी। यदि वह सार्वजनिक सर्वर दिखाता है, तो डोमेन पदानुक्रम के बाहर की कोई चीज़ जीत रही है, और यह नेटवर्क नहीं, नीति का प्रश्न है।

तय करें कि रोमिंग में क्या होता है

डिस्कनेक्ट रहने पर डिवाइस अपनी स्थानीय घड़ी और जिन समय प्रदाताओं तक वह पहुँच सकता है उन पर निर्भर रहता है। लैपटॉप विचलित होते हैं, और हफ़्तों ऑफ़लाइन रहा डिवाइस पुनः कनेक्ट के बाद पहले Kerberos अनुरोध में विफल होने तक बहक सकता है।

पुनः कनेक्ट पर डिवाइस को डोमेन खोज और समय सेवा का इच्छित मार्ग चाहिए, केवल फ़ाइल शेयर तक का रास्ता नहीं। इसे नेटवर्क से बाहर पुनःआरंभ करके, VPN जोड़कर और स्रोत फिर पढ़कर जाँचें, यह मानने के बजाय कि पदानुक्रम ने स्वयं को पुनःस्थापित कर लिया है।

वर्चुअल मशीनें एक और प्रदाता जोड़ती हैं। हाइपरवाइज़र समय एकीकरण कई डिज़ाइनों में वैध स्रोत है, पर उसकी भूमिका सोच-समझकर चुनी जानी चाहिए और डोमेन नीति के साथ समन्वित होनी चाहिए। दो असहमत प्रदाता ऐसी घड़ी बनाते हैं जो स्थिर दिखती है और गलत है।

सदस्य नीति को प्राधिकरण से अलग रखें

सामान्य सदस्य कॉन्फ़िगरेशन और आधिकारिक सर्वर का कॉन्फ़िगरेशन अलग-अलग परिवर्तन नियंत्रण वाली अलग समस्याएँ हैं। इन्हें मिलाना वही तरीका है जिससे नियमित लैपटॉप नीति परिवर्तन अंततः पूरे वन का संदर्भ बदल देता है।

निर्णय का रिकॉर्ड चार पंक्तियों में लिखें: आधिकारिक स्रोत, उसे वहन करने वाली पदानुक्रम, रोमिंग व्यवहार, और वह आदेश जो डिवाइस पर स्थिति सिद्ध करता है। यदि पहले तीन प्रलेखित हों और चौथा दोहराने योग्य हो, तो समय से जुड़ी लॉगिन विफलता VPN लॉग में खोजने के बजाय पाँच मिनट की जाँच बन जाती है।