რატომ არ ასწორებს VPN დომენზე მიერთებული ლეპტოპის საათს

დისტანციური თანამშრომელი ურთდება VPN-ს, გვირაბი ამოდის და შესვლები იწყებს ჩავარდნას ავთენტიფიკაციის შეცდომით, რომელიც დროს ახსენებს. გვირაბში არაფერია გატეხილი. VPN პაკეტებს ქსელებს შორის გადააქვს; ის ორ მანქანას საერთო საათს არ აძლევს, და დომენის ავთენტიფიკაცია, სერტიფიკატების ვალიდაცია და აუდიტის კორელაცია ყველა საკმარისად ახლოს დამთხვეულ საათებზეა დამოკიდებული. აქედან სამი გადაწყვეტილება გამომდინარეობს: ვის ეკუთვნის დრო დომენში, რას იყენებს მოწყობილობა რეალურად და რა ხდება, სანამ მოწყობილობა როუმინგშია.

მარშრუტი საათი არ არის

Kerberos-ის ავთენტიფიკაცია დროისადმი მგრძნობიარე მონაცემებს შეიცავს და უარყოფს მოთხოვნებს კონფიგურირებული ტოლერანტობის გარეთ, რომელიც Windows-ის დომენებში ნაგულისხმევად ხუთი წუთია. სერტიფიკატებს მოქმედების ინტერვალები აქვთ, ამიტომ მოწყობილობა, რომლის საათიც საკმარისად წინაა, ვალიდურ სერტიფიკატს ჯერ არავალიდურად თვლის. რამდენიმე მანქანის აუდიტის ჩანაწერები მხოლოდ მაშინ კორელირდება, როცა მათი საათები ახლოსაა, და ეს პირველად მაშინ მნიშვნელოვანია, როცა ინციდენტის განხილვა იკითხავს, რა მოხდა ჯერ.

ეს სამი დამოკიდებულება გვირაბისგან დამოუკიდებელია. VPN-ის აწევა ხელმისაწვდომობას ცვლის, და ხელმისაწვდომობაა ის, რაც მოწყობილობას დროის წყაროს პოვნის საშუალებას აძლევს; ის თავად წყარო არ არის.

ნაჩვენები დროის სარტყელი თავად საათისგან ცალკე გეჭიროთ. ორი ლეპტოპი, რომლებიც სხვადასხვა ლოკალურ დროს აჩვენებენ, შეიძლება სრულად სინქრონიზებული იყოს, და ორი, რომლებიც ერთსა და იმავე საათს აჩვენებენ, შეიძლება წუთებით განსხვავდებოდეს, თუ მათი დროის სარტყლის პარამეტრები განსხვავებულია. დროის სარტყლის შეცვლა არასწორი საათის შეკეთება არ არის, და ვადაგასული სერტიფიკატის გასამართად თარიღის უკან გადაწევა არღვევს მანქანაზე დროზე დამოკიდებულ ყველა სხვა შემოწმებას.

გადაწყვიტეთ, ვის ეკუთვნის დრო დომენში

დომენზე მიერთებული Windows-ის წევრები ჩვეულებრივ მიჰყვებიან Active Directory-ის დროის იერარქიას და არა ყოველ ჯერზე საჯარო სერვერს ეკითხებიან. ეს ჯაჭვი მთავრდება ტყის ფესვის PDC ემულატორზე, რომლის მიმართულებაც ორგანიზაციის ავტორიტეტული წყაროა.

მიმართულებას ორი პირობა განსაზღვრავს: უშვებს თუ არა პოლიტიკა გარე დროის სერვისს, და აღწევს თუ არა ქსელი საიმედოდ დამტკიცებულ შიდა წყარომდე ყოველი ადგილიდან. თუ ორივე გაუგებარია, პრაქტიკული პასუხია იერარქია უცვლელად შევინარჩუნოთ და ხელმისაწვდომობა გამოვასწოროთ, ნაცვლად კლიენტების საჯარო აუზზე მიმართვისა. მესამე პირობა ჩავარდნის გზას განსაზღვრავს: რა უნდა გააკეთოს მოწყობილობამ, როცა არც ერთი წყარო მიუწვდომელია. ამის წინასწარ გადაწყვეტა თავიდან აგვაცილებს იმპროვიზებულ შეკეთებას, როცა საჯარო სერვერს ერთ ლეპტოპზე ამაგრებენ.

ეს არჩევანი დომენისა და დროის ადმინისტრატორებს ეკუთვნით და არა დისტანციური წვდომის დიზაინს. ლეპტოპი, რომელიც თავს საიმედო დროის ავტორიტეტად აწყობს, სხვა არქიტექტურაა, და იშვიათადაა ის, რაც უსაფრთხოების განხილვამ დაამტკიცა.

წაიკითხეთ, რას იყენებს მოწყობილობა რეალურად

მხოლოდ-წაკითხვის ორი ბრძანება აფიქსირებს მიმდინარე მდგომარეობას მართულ Windows მოწყობილობაზე, და ღირს მათი დაფიქსირება ცვლილებამდე და მის შემდეგ:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

ჩაწერეთ არჩეული წყარო, ბოლო წარმატებული სინქრონიზაცია და stratum ან მიმართულების იდენტიფიკატორი მოწყობილობის მართვის პოლიტიკის გვერდით. ერთი წარმატებული ხელით სინქრონიზაცია ამტკიცებს, რომ ბრძანება მუშაობს, და არა რომ პოლიტიკა გადაურჩება გადატვირთვას ან როლის ცვლილებას.

თუ წყარო ლოკალურ CMOS საათს აჩვენებს, მოწყობილობა საერთოდ არ სინქრონიზდება, რაც ჩვეულებრივ ნიშნავს, რომ დომენის კონტროლერი ჩატვირთვისას მიუწვდომელი იყო ან დროის სერვისი პოლიტიკით გამორთულია. თუ ის საჯარო სერვერს აჩვენებს, დომენის იერარქიის გარეთ რაღაც იმარჯვებს, და ეს პოლიტიკის საკითხია და არა ქსელის.

გადაწყვიტეთ, რა ხდება როუმინგის დროს

გათიშულ მდგომარეობაში მოწყობილობა თავის ლოკალურ საათს და ყველა იმ დროის მომწოდებელს ეყრდნობა, რომლებამდეც აღწევს. ლეპტოპები იხრება, და კვირების განმავლობაში ოფლაინ მყოფი მოწყობილობა შეიძლება იმდენად გადაიხაროს, რომ ხელახალი მიერთების შემდეგ პირველი Kerberos მოთხოვნა ჩავარდეს.

ხელახალი მიერთებისას მოწყობილობას სჭირდება დომენის აღმოჩენა და დროის სერვისის განზრახული გზა, და არა მხოლოდ მარშრუტი ფაილების გაზიარებამდე. შეამოწმეთ ეს ქსელის გარეთ გადატვირთვით, VPN-ზე მიერთებით და წყაროს ხელახალი წაკითხვით, იმის ნაცვლად, რომ ჩათვალოთ, თითქოს იერარქიამ თავად აღიდგინა თავი.

ვირტუალური მანქანები კიდევ ერთ მომწოდებელს ამატებენ. ჰიპერვიზორის დროის ინტეგრაცია ბევრ დიზაინში ლეგიტიმური წყაროა, მაგრამ მისი როლი განზრახ უნდა შეირჩეს და დომენის პოლიტიკას შეუთანხმდეს. ორი უთანხმო მომწოდებელი ქმნის საათს, რომელიც სტაბილურად გამოიყურება და არასწორია.

წევრების პოლიტიკა ავტორიტეტისგან ცალკე გეჭიროთ

ჩვეულებრივი წევრის კონფიგურაცია და ავტორიტეტული სერვერის კონფიგურაცია სხვადასხვა პრობლემაა სხვადასხვა ცვლილების კონტროლით. მათი შერევა ის გზაა, რომლითაც რუტინული ლეპტოპის პოლიტიკის ცვლილება საბოლოოდ მთელი ტყის მიმართულებას ცვლის.

გადაწყვეტილების ჩანაწერი ოთხ სტრიქონად დაწერეთ: ავტორიტეტული წყარო, მისი მატარებელი იერარქია, როუმინგის ქცევა და ბრძანება, რომელიც მოწყობილობაზე მდგომარეობას ამტკიცებს. თუ პირველი სამი დოკუმენტირებულია და მეოთხე განმეორებადი, დროსთან დაკავშირებული შესვლის ჩავარდნა ხდება ხუთწუთიანი შემოწმება VPN-ის ჟურნალებში ძებნის ნაცვლად.