Miért nem javítja a VPN a tartományhoz csatolt laptop óráját

Egy távoli munkatárs csatlakozik a VPN-hez, az alagút feljön, és a bejelentkezések hitelesítési hibával kezdenek meghiúsulni, amely az időt említi. Az alagúttal nincs semmi baj. A VPN csomagokat szállít a hálózatok között; nem ad két gépnek közös órát, a tartományi hitelesítés, a tanúsítvány-érvényesítés és az audit-korreláció pedig mind olyan óráktól függ, amelyek elég közel egyeznek. Ebből három döntés következik: kié a tartomány ideje, mit használ a gép valójában, és mi történik, miközben a gép barangol.

Az útvonal nem óra

A Kerberos-hitelesítés időérzékeny adatokat tartalmaz, és elutasítja a beállított tűrésen kívül eső kéréseket, amely Windows-tartományokban alapértelmezés szerint öt perc. A tanúsítványok érvényességi időtartamot hordoznak, ezért az a gép, amelynek órája elég előre jár, egy érvényes tanúsítványt még nem érvényesként kezel. A több gépből származó auditrekordok csak akkor korrelálnak, ha az óráik közel vannak egymáshoz, és ez akkor számít, amikor egy incidensvizsgálat először kérdezi meg, mi történt előbb.

Ez a három függőség független az alagúttól. A VPN felhúzása megváltoztatja az elérhetőséget, és az elérhetőség az, ami lehetővé teszi a gép számára az időforrás megtalálását; maga nem a forrás.

Tartsa külön a megjelenített időzónát magától az órától. Két laptop, amely különböző helyi időt mutat, tökéletesen szinkronban lehet, és két laptop, amely ugyanazt az órát mutatja, percekkel eltérhet, ha az időzóna-beállításaik különböznek. Az időzóna módosítása nem a hibás óra javítása, és egy dátum visszaállítása, hogy egy lejárt tanúsítvány működjön, minden más időfüggő ellenőrzést elront a gépen.

Döntse el, kié a tartomány ideje

A tartományhoz csatolt Windows-tagok általában az Active Directory időhierarchiáját követik, ahelyett hogy minden alkalommal nyilvános kiszolgálót kérdeznének. Ez a lánc az erdő gyökerének PDC-emulátoránál végződik, amelynek referenciája a szervezet hiteles forrása.

Két feltétel dönti el a referenciát: hogy a házirend engedélyez-e külső időszolgáltatást, és hogy a hálózat minden helyszínről megbízhatóan eléri-e a jóváhagyott belső forrást. Ha mindkettő tisztázatlan, a gyakorlati válasz az, hogy a hierarchiát érintetlenül hagyjuk és az elérhetőséget javítsuk, ahelyett hogy az ügyfeleket nyilvános poolra irányítanánk. Egy harmadik feltétel dönti el a hibaút: mit tegyen a gép, ha egyik forrás sem érhető el. Ennek előzetes tisztázása elkerüli azt a rögtönzött javítást, hogy egy laptopra rögzítenek egy nyilvános kiszolgálót.

Ez a választás a tartományi és időgazdáké, nem a távoli hozzáférés tervezéséé. Az a laptop, amely magát megbízható időhatóságként konfigurálja, más architektúra, és ritkán az, amelyet a biztonsági vizsgálat jóváhagyott.

Olvassa el, mit használ valójában a gép

Két csak olvasható parancs dokumentálja a jelenlegi állapotot egy felügyelt Windows-eszközön, és érdemes rögzíteni őket a változtatás előtt és után:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Jegyezze fel a kiválasztott forrást, az utolsó sikeres szinkronizálást és a stratumot vagy referencia-azonosítót az eszköz felügyeleti házirendje mellé. Egyetlen sikeres kézi szinkronizálás azt bizonyítja, hogy a parancs működik, nem azt, hogy a házirend túléli az újraindítást vagy a szerepkör-változást.

Ha a forrás a helyi CMOS-órát mutatja, a gép egyáltalán nem szinkronizál, ami általában azt jelenti, hogy a tartományvezérlő nem volt elérhető indításkor, vagy az időszolgáltatást házirend kapcsolta ki. Ha nyilvános kiszolgálót mutat, valami a tartományi hierarchián kívül nyer, és ez házirendkérdés, nem hálózati kérdés.

Döntse el, mi történik barangolás közben

Amíg a gép le van választva, a helyi órájára és minden elérhető időszolgáltatóra támaszkodik. A laptopok sodródnak, és egy hetekig offline gép eléggé eltérhet ahhoz, hogy az újracsatlakozás utáni első Kerberos-kérés meghiúsuljon.

Újracsatlakozáskor a gépnek tartományfelderítésre és a szánt időszolgáltatási útvonalra van szüksége, nem csupán egy fájlmegosztáshoz vezető útvonalra. Ezt úgy tesztelje, hogy hálózaton kívül újraindítja, csatlakoztatja a VPN-t és újra beolvassa a forrást, ahelyett hogy feltételezné, a hierarchia magától helyreállt.

A virtuális gépek további szolgáltatót adnak hozzá. A hipervizor időintegrációja sok tervben legitim forrás, de a szerepét szándékosan kell megválasztani és a tartományi házirenddel összehangolni. Két eltérő szolgáltató olyan órát eredményez, amely stabilnak látszik és hibás.

Tartsa külön a tagi házirendet a hatóságtól

A szokásos tagkonfiguráció és a hiteles kiszolgáló konfigurációja különböző problémák, különböző változáskezeléssel. Ezek összekeverése az az út, amelyen egy rutin laptop-házirend-változás végül az egész erdő referenciáját módosítja.

Írja le a döntést négy sorban: a hiteles forrás, az azt hordozó hierarchia, a barangolás viselkedése és a parancs, amely bizonyítja az állapotot az eszközön. Ha az első három dokumentált, a negyedik pedig megismételhető, egy idővel kapcsolatos bejelentkezési hiba ötperces ellenőrzéssé válik a VPN-naplókban való kutatás helyett.