Hvers vegna VPN lagar ekki klukkuna á fartölvu sem er í léni

Fjarvinnandi starfsmaður tengir VPN, göngin rísa og innskráningar byrja að mistakast með auðkenningarvillu sem nefnir tíma. Ekkert er bilað í göngunum. VPN ber pakka milli neta; það gefur tveimur vélum ekki sameiginlega klukku, og auðkenning léns, staðfesting skírteina og fylgni endurskoðunargagna byggjast öll á klukkum sem stemma nógu vel. Af því leiða þrjár ákvarðanir: hver á tímann í léninu, hvað tækið notar í raun og hvað gerist meðan tækið ferðast.

Slóð er ekki klukka

Kerberos-auðkenning inniheldur tímaviðkvæm gögn og hafnar beiðnum utan stillts vikmarks, sem er fimm mínútur að sjálfgefnu í Windows-lénum. Skírteini bera gildistíma, svo tæki þar sem klukkan er nógu á undan meðhöndlar gilt skírteini sem ekki gilt enn. Endurskoðunargögn frá nokkrum vélum fylgjast aðeins ef klukkurnar eru nálægar, og það skiptir máli í fyrsta skipti sem atvikayfirferð spyr hvað gerðist fyrst.

Þessar þrjár ósjálfstæðu kröfur eru óháðar göngunum. Að rísa VPN breytir aðgengi, og aðgengi er það sem gerir tæki kleift að finna tímauppruna; hún er ekki uppruninn.

Haldið sýndu tímabeltinu aðskildu frá klukkunni sjálfri. Tvær fartölvur sem sýna mismunandi staðartíma geta verið fullkomlega samstilltar, og tvær sem sýna sama klukkustund geta stangast á um mínútur ef stillingar tímabeltisins eru mismunandi. Að breyta tímabeltinu er ekki viðgerð á rangri klukku, og að færa dagsetningu aftur svo útrunnið skírteini virki brýtur allar aðrar tíma háðar athuganir á vélinni.

Ákveðið hver á tímann í léninu

Windows-aðilar sem eru í léni fylgja venjulega tímastigveldi Active Directory í stað þess að spyrja opinberan netþjón í hvert sinn. Þessi keðja endar á PDC-hermi skógarins, en tilvísun hans er hið opinbera uppruni stofnunarinnar.

Tvö skilyrði ráða tilvísuninni: hvort stefna leyfir utanaðkomandi tímaþjónustu og hvort netið nær áreiðanlega innri uppruna sem er samþykktur frá hverjum stað. Ef bæði eru óljós er hagnýta svarið að halda stigveldinu óskertu og laga aðgengið í stað þess að beina biðlurum að opinberum laug. Þriðja skilyrðið ræður bilunarleiðinni: hvað tækið eigi að gera þegar hvorugur uppruninn er aðgengilegur. Að ákveða það fyrirfram kemur í veg fyrir þá skyndilausn að negla opinberan netþjón á eina fartölvu.

Þetta val er hjá léns- og tímastefnustjórum, ekki hönnun fjaraðgangs. Fartölva sem stillir sig sem áreiðanlega tímavald er önnur arkitektúr, og er sjaldan sú sem öryggisyfirferðin samþykkti.

Lesið hvað tækið notar í raun

Tvær leseinungis skipanir skjalfesta núverandi ástand á stýrðu Windows-tæki, og það er þess virði að taka þær fyrir og eftir breytingu:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Skráið valinn uppruna, síðustu farsælu samstillingu og stratum eða tilvísunarauðkenni við hlið stefnu tækisins. Ein farsæl handvirk samstilling sannar að skipunin virki, ekki að stefnan lifi endurræsingu eða hlutverksbreytingu af.

Ef uppruninn sýnir staðbundnu CMOS-klukkuna samstillir tækið sig alls ekki, sem venjulega þýðir að lénsstýringin var óaðgengileg við ræsingu eða tímaþjónustan var gerð óvirk með stefnu. Ef hann sýnir opinberan netþjón vinnur eitthvað utan lénsstigveldisins, og það er stefnumál, ekki netmál.

Ákveðið hvað gerist í ferðalagi

Meðan tækið er aftengt reiðir það sig á staðbundnu klukkuna og alla tímaþjónustuaðila sem það nær. Fartölvur reka, og tæki sem hefur verið ótengt í vikur getur rekið nógu langt til að fyrsta Kerberos-beiðnin eftir endurtengingu mistakist.

Við endurtengingu þarf tækið lénsuppgötvun og fyrirhugaða slóð tímaþjónustunnar, ekki bara leið að sameiginlegri möppu. Prófið það með því að endurræsa utan nets, tengja VPN og lesa upprunann aftur í stað þess að gera ráð fyrir að stigveldið hafi endurreist sig.

Sýndarvélar bæta við einum þjónustuaðila. Tímasamþætting hypervisors er lögmætur uppruni í mörgum hönnunum, en hlutverk hennar á að velja viljandi og samræma stefnu lénsins. Tveir þjónustuaðilar sem greinir á framleiða klukku sem virðist stöðug og er röng.

Haldið stefnu aðila aðskilinni frá valdinu

Venjuleg stilling aðila og stilling hins opinbera netþjóns eru mismunandi vandamál með mismunandi breytingastjórnun. Að blanda þeim er leiðin sem venjuleg stefnubreyting á fartölvu endar með að breyta tilvísuninni fyrir allan skóginn.

Skrifið ákvörðunina í fjórar línur: hinn opinberi uppruni, stigveldið sem ber hann, hegðunin í ferðalagi og skipunin sem sannar ástandið á tæki. Ef fyrstu þrjár eru skjalfestar og sú fjórða endurtakanleg verður tímatengd innskráningarbilun fimm mínútna athugun í stað eltingarleiks í VPN-loggum.