Ինչու VPN-ը չի շտկում տիրույթին միացված նոթբուքի ժամացույցը

Հեռավոր աշխատակիցը միանում է VPN-ին, թունելը բարձրանում է, և մուտքերը սկսում են ձախողվել նույնականացման սխալով, որը հիշատակում է ժամանակը։ Թունելում ոչինչ կոտրված չէ։ VPN-ը փաթեթներ է փոխադրում ցանցերի միջև՝ այն երկու մեքենաների ընդհանուր ժամացույց չի տալիս, և տիրույթի նույնականացումը, վկայագրերի վավերացումը և աուդիտի համադրումը բոլորը կախված են բավական մոտ համընկնող ժամացույցներից։ Դրանից բխում է երեք որոշում՝ ումն է տիրույթում ժամանակը, ինչ է սարքն իրականում օգտագործում, և ինչ է պատահում, երբ սարքը ռոումինգի մեջ է։

Ուղին ժամացույց չէ

Kerberos-ի նույնականացումը ներառում է ժամանակի նկատմամբ զգայուն տվյալներ և մերժում է կարգավորված հանդուրժողականությունից դուրս հարցումները, որը Windows-ի տիրույթներում լռելյայն հինգ րոպե է։ Վկայագրերն ունեն վավերականության միջակայքեր, ուստի սարքը, որի ժամացույցը բավական առաջ է, վավեր վկայագիրը համարում է դեռևս ոչ վավեր։ Մի քանի մեքենաների աուդիտի գրառումները համադրվում են միայն այն դեպքում, երբ նրանց ժամացույցները մոտ են, և դա կարևոր է առաջին անգամ, երբ միջադեպի վերանայումը հարցնում է, թե ինչ եղավ առաջինը։

Այդ երեք կախվածությունները անկախ են թունելից։ VPN-ի բարձրացումը փոխում է հասանելիությունը, և հասանելիությունն է, որ թույլ է տալիս սարքին գտնել ժամանակի աղբյուր՝ այն ինքը աղբյուր չէ։

Ցուցադրվող ժամային գոտին առանձնացրեք հենց ժամացույցից։ Երկու նոթբուք, որոնք տարբեր տեղական ժամեր են ցույց տալիս, կարող են լիովին համաժամեցված լինել, իսկ երկուսը, որոնք նույն ժամն են ցույց տալիս, կարող են րոպեներով տարբերվել, եթե նրանց ժամային գոտու կարգավորումները տարբեր են։ Ժամային գոտին փոխելը սխալ ժամացույցի վերանորոգում չէ, և ժամկետանց վկայագիրը աշխատեցնելու համար ամսաթիվը հետ տեղափոխելը կոտրում է մեքենայի ժամանակից կախված մնացած բոլոր ստուգումները։

Որոշեք, թե ումն է տիրույթում ժամանակը

Տիրույթին միացված Windows անդամները սովորաբար հետևում են Active Directory-ի ժամանակի հիերարխիային՝ ամեն անգամ հանրային սերվեր չհարցնելով։ Այդ շղթան ավարտվում է անտառի արմատի PDC էմուլյատորում, որի հղումը կազմակերպության հեղինակավոր աղբյուրն է։

Երկու պայման է որոշում հղումը՝ արդյոք քաղաքականությունը թույլ է տալիս արտաքին ժամանակի ծառայություն, և արդյոք ցանցը յուրաքանչյուր վայրից վստահելիորեն հասնում է հաստատված ներքին աղբյուրին։ Եթե երկուսն էլ պարզ չեն, գործնական պատասխանն է՝ թողնել հիերարխիան անձեռնմխելի և շտկել հասանելիությունը՝ հաճախորդներին հանրային լողավազան ուղղելու փոխարեն։ Երրորդ պայմանը որոշում է խափանման ուղին՝ ինչ պետք է անի սարքը, երբ աղբյուրներից ոչ մեկը հասանելի չէ։ Դա նախապես որոշելը խուսափում է հանրային սերվերը մեկ նոթբուքի վրա ամրացնելու իմպրովիզացված լուծումից։

Այդ ընտրությունը տիրույթի և ժամանակի ադմինիստրատորներինն է, ոչ թե հեռավոր հասանելիության ձևավորմանը։ Նոթբուքը, որն իրեն կարգավորում է որպես վստահելի ժամանակի հեղինակություն, այլ ճարտարապետություն է, և հազվադեպ է այն, ինչը հաստատել է անվտանգության վերանայումը։

Կարդացեք, թե սարքն ինչ է իրականում օգտագործում

Երկու միայն կարդալու հրամաններ փաստագրում են ընթացիկ վիճակը կառավարվող Windows սարքում, և արժե դրանք գրանցել փոփոխությունից առաջ և հետո։

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Գրանցեք ընտրված աղբյուրը, վերջին հաջող համաժամեցումը և stratum-ը կամ հղման նույնացուցիչը սարքի կառավարման քաղաքականության կողքին։ Մեկ հաջող ձեռքով համաժամեցումը ապացուցում է, որ հրամանն աշխատում է, ոչ թե որ քաղաքականությունը դիմանում է վերագործարկմանը կամ դերի փոփոխությանը։

Եթե աղբյուրը ցույց է տալիս տեղական CMOS ժամացույցը, սարքն ընդհանրապես չի համաժամեցվում, ինչը սովորաբար նշանակում է, որ տիրույթի կարգավորիչը բեռնման պահին հասանելի չի եղել, կամ ժամանակի ծառայությունը քաղաքականությամբ անջատվել է։ Եթե այն ցույց է տալիս հանրային սերվեր, հաղթում է տիրույթի հիերարխիայից դուրս ինչ-որ բան, և դա քաղաքականության հարց է, ոչ թե ցանցի։

Որոշեք, թե ինչ է պատահում ռոումինգի ընթացքում

Անջատված վիճակում սարքը հենվում է իր տեղական ժամացույցի և այն ժամանակի մատակարարների վրա, որոնց կարող է հասնել։ Նոթբուքերը շեղվում են, և շաբաթներ անցանց մնացած սարքը կարող է բավական շեղվել, որ վերամիացումից հետո առաջին Kerberos հարցումը ձախողվի։

Վերամիացման պահին սարքին անհրաժեշտ են տիրույթի հայտնաբերում և ժամանակի ծառայության նախատեսված ուղին, ոչ միայն երթուղի դեպի ֆայլային համօգտագործում։ Ստուգեք դա՝ ցանցից դուրս վերագործարկելով, VPN-ին միանալով և աղբյուրը կրկին կարդալով, փոխարենը ենթադրելու, որ հիերարխիան ինքն իրեն վերականգնել է։

Վիրտուալ մեքենաները ավելացնում են ևս մեկ մատակարար։ Հիպերվիզորի ժամանակի ինտեգրումը շատ ձևավորումներում օրինական աղբյուր է, բայց դրա դերը պետք է ընտրվի գիտակցաբար և համաձայնեցվի տիրույթի քաղաքականության հետ։ Երկու անհամաձայն մատակարարներ ստեղծում են ժամացույց, որը կայուն է թվում և սխալ է։

Անդամների քաղաքականությունը առանձնացրեք հեղինակությունից

Սովորական անդամի կարգավորումը և հեղինակավոր սերվերի կարգավորումը տարբեր խնդիրներ են՝ տարբեր փոփոխությունների վերահսկմամբ։ Դրանք խառնելը այն ուղին է, որով սովորական նոթբուքի քաղաքականության փոփոխությունը ի վերջո փոխում է ամբողջ անտառի հղումը։

Որոշման գրառումը գրեք չորս տողով՝ հեղինակավոր աղբյուրը, այն կրող հիերարխիան, ռոումինգի վարքը և հրամանը, որն ապացուցում է վիճակը սարքում։ Եթե առաջին երեքը փաստագրված են, իսկ չորրորդը՝ կրկնելի, ժամանակի հետ կապված մուտքի խափանումը դառնում է հինգ րոպեի ստուգում՝ VPN-ի մատյաններում որոնելու փոխարեն։