Mengapa VPN tidak memperbaiki jam pada laptop yang tergabung dalam domain

Seorang pekerja jarak jauh menyambungkan VPN, tunnel terangkat, dan login mulai gagal dengan galat autentikasi yang menyebut waktu. Tidak ada yang rusak pada tunnel. VPN membawa paket antarjaringan; ia tidak memberi dua mesin jam bersama, dan autentikasi domain, validasi sertifikat, serta korelasi audit semuanya bergantung pada jam yang sepakat cukup dekat. Dari situ muncul tiga keputusan: siapa yang memiliki waktu di domain, apa yang sebenarnya dipakai perangkat, dan apa yang terjadi saat perangkat berpindah.

Jalur bukan jam

Autentikasi Kerberos memuat data yang sensitif terhadap waktu dan menolak permintaan di luar toleransi yang dikonfigurasi, yang secara bawaan lima menit di domain Windows. Sertifikat membawa interval masa berlaku, sehingga perangkat yang jamnya cukup maju memperlakukan sertifikat yang sah sebagai belum sah. Catatan audit dari beberapa mesin hanya berkorelasi jika jamnya berdekatan, dan itu penting saat pertama kali tinjauan insiden menanyakan apa yang terjadi lebih dulu.

Ketiga ketergantungan itu tidak bergantung pada tunnel. Menyalakan VPN mengubah keterjangkauan, dan keterjangkauan itulah yang memungkinkan perangkat menemukan sumber waktu; ia bukan sumbernya.

Pisahkan zona waktu yang ditampilkan dari jam itu sendiri. Dua laptop yang menampilkan jam lokal berbeda bisa sepenuhnya tersinkron, dan dua yang menampilkan jam sama bisa berselisih beberapa menit jika pengaturan zona waktunya berbeda. Mengubah zona waktu bukan perbaikan jam yang salah, dan memundurkan tanggal agar sertifikat kedaluwarsa berfungsi merusak setiap pemeriksaan lain di mesin yang bergantung pada waktu.

Putuskan siapa yang memiliki waktu di domain

Anggota Windows yang tergabung dalam domain biasanya mengikuti hierarki waktu Active Directory alih-alih menanyakan server publik setiap kali. Rantai itu berakhir pada emulator PDC akar hutan, yang rujukannya adalah sumber otoritatif organisasi.

Dua syarat menentukan rujukan: apakah kebijakan mengizinkan layanan waktu eksternal, dan apakah jaringan dapat menjangkau sumber internal yang disetujui secara andal dari setiap lokasi. Jika keduanya tidak jelas, jawaban praktisnya adalah menjaga hierarki tetap utuh dan memperbaiki keterjangkauan alih-alih mengarahkan klien ke kumpulan publik. Syarat ketiga menentukan jalur kegagalan: apa yang harus dilakukan perangkat ketika tidak ada sumber yang terjangkau. Menetapkannya lebih dulu menghindari perbaikan dadakan berupa memaku server publik pada satu laptop.

Pilihan itu milik administrator domain dan waktu, bukan desain akses jarak jauh. Laptop yang mengonfigurasi dirinya sebagai otoritas waktu tepercaya adalah arsitektur lain, dan jarang yang disetujui tinjauan keamanan.

Baca apa yang sebenarnya dipakai perangkat

Dua perintah hanya-baca mendokumentasikan keadaan saat ini pada perangkat Windows yang dikelola, dan keduanya layak dicatat sebelum dan sesudah perubahan:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Catat sumber yang dipilih, sinkronisasi berhasil terakhir, dan stratum atau pengenal rujukan di samping kebijakan pengelolaan perangkat. Satu sinkronisasi manual yang berhasil membuktikan perintahnya bekerja, bukan bahwa kebijakan bertahan setelah reboot atau perubahan peran.

Jika sumber menunjukkan jam CMOS lokal, perangkat tidak tersinkron sama sekali, yang biasanya berarti pengendali domain tidak terjangkau saat boot atau layanan waktu dinonaktifkan oleh kebijakan. Jika ia menunjukkan server publik, ada sesuatu di luar hierarki domain yang menang, dan itu pertanyaan kebijakan, bukan jaringan.

Putuskan apa yang terjadi saat berpindah

Saat terputus, perangkat bergantung pada jam lokalnya dan pada penyedia waktu mana pun yang dapat dijangkau. Laptop mengalami drift, dan perangkat yang lama offline bisa menyimpang cukup jauh untuk menggagalkan permintaan Kerberos pertama setelah tersambung kembali.

Saat tersambung kembali, perangkat memerlukan penemuan domain dan jalur layanan waktu yang dimaksud, bukan sekadar rute ke berbagi pakai berkas. Ujilah dengan menyalakan ulang di luar jaringan, menyambungkan VPN, dan membaca sumbernya lagi alih-alih menganggap hierarki menegakkan dirinya sendiri.

Mesin virtual menambahkan penyedia lain. Integrasi waktu hipervisor adalah sumber yang sah dalam banyak rancangan, tetapi perannya harus dipilih dengan sengaja dan dikoordinasikan dengan kebijakan domain. Dua penyedia yang tidak sepakat menghasilkan jam yang tampak stabil dan salah.

Pisahkan kebijakan anggota dari otoritas

Konfigurasi anggota biasa dan konfigurasi server otoritatif adalah masalah berbeda dengan kendali perubahan berbeda. Mencampurnya adalah cara perubahan kebijakan laptop yang rutin akhirnya mengubah rujukan bagi seluruh hutan.

Tulis catatan keputusan dalam empat baris: sumber otoritatif, hierarki yang membawanya, perilaku saat berpindah, dan perintah yang membuktikan keadaan pada perangkat. Jika tiga yang pertama terdokumentasi dan yang keempat dapat diulang, kegagalan login terkait waktu menjadi pemeriksaan lima menit alih-alih perburuan di log VPN.