Неге VPN доменге қосылған ноутбуктің сағатын түзетпейді

Қашықтағы қызметкер VPN қосады, туннель көтеріледі, және кірулер уақытты атайтын аутентификация қатесімен сәтсіз бола бастайды. Туннельде ештеңе бұзылмаған. VPN желілер арасында пакеттерді тасымалдайды; ол екі машинаға ортақ сағат бермейді, ал домен аутентификациясы, сертификаттарды тексеру және аудит корреляциясы жеткілікті жақын сәйкесетін сағаттарға тәуелді. Одан үш шешім шығады: домендегі уақыт кімге тиесілі, құрылғы шын мәнінде нені пайдаланады және құрылғы роумингте болғанда не болады.

Маршрут сағат емес

Kerberos аутентификациясы уақытқа сезімтал деректерді қамтиды және конфигурацияланған төзімділіктен тыс сұраныстарды қабылдамайды, ол Windows домендерінде әдепкі бойынша бес минут. Сертификаттардың жарамдылық аралықтары бар, сондықтан сағаты жеткілікті алда кеткен құрылғы жарамды сертификатты әлі жарамсыз деп қарайды. Бірнеше машинаның аудит жазбалары сағаттары жақын болғанда ғана корреляцияланады, және бұл оқиғаны қарау алғаш рет не бұрын болғанын сұрағанда маңызды.

Бұл үш тәуелділік туннельге байланысты емес. VPN көтеру қолжетімділікті өзгертеді, ал қолжетімділік — құрылғыға уақыт көзін табуға мүмкіндік беретін нәрсе; ол көздің өзі емес.

Көрсетілетін уақыт белдеуін сағаттың өзінен бөлек ұстаңыз. Әртүрлі жергілікті уақытты көрсететін екі ноутбук толық синхрондалған болуы мүмкін, ал бірдей сағатты көрсететін екеуі уақыт белдеуі параметрлері өзгеше болса, минуттармен алшақтауы мүмкін. Уақыт белдеуін өзгерту қате сағатты жөндеу емес, ал мерзімі өткен сертификатты іске қосу үшін күнді кейін шегеру машинадағы уақытқа тәуелді барлық басқа тексерістерді бұзады.

Домендегі уақыт кімге тиесілі екенін шешіңіз

Доменге қосылған Windows мүшелері әдетте әр жолы ашық серверге сұрақ қоюдың орнына Active Directory уақыт иерархиясын ұстанады. Бұл тізбек орман тамырының PDC эмуляторында аяқталады, оның сілтемесі ұйымның беделді көзі болып табылады.

Сілтемені екі шарт анықтайды: саясат сыртқы уақыт қызметіне рұқсат бере ме, және желі әр сайттан бекітілген ішкі көзге сенімді жете ме. Екеуі де бұлыңғыр болса, практикалық жауап — иерархияны бүлінбей сақтап, клиенттерді ашық пулға бағыттаудың орнына қолжетімділікті түзету. Үшінші шарт ақау жолын анықтайды: екі көзге де жету мүмкін болмағанда құрылғы не істеуі керек. Мұны алдын ала шешу бір ноутбукке ашық серверді қадап қоюдың импровизацияланған жөндеуінен сақтайды.

Бұл таңдау домен және уақыт әкімшілеріне тиесілі, қашықтан қатынау дизайнына емес. Өзін сенімді уақыт органы ретінде конфигурациялайтын ноутбук — басқа архитектура, және қауіпсіздік қарауы мақұлдаған нұсқа сирек сол болады.

Құрылғы шын мәнінде нені пайдаланатынын оқыңыз

Басқарылатын Windows құрылғысындағы ағымдағы күйді тек оқуға арналған екі пәрмен құжаттайды, және оларды өзгеріс алдында және кейін тіркеп қою керек:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Таңдалған көзді, соңғы сәтті синхрондауды және stratum немесе сілтеме идентификаторын құрылғының басқару саясатымен қатар жазып алыңыз. Бір сәтті қолмен синхрондау пәрменнің жұмыс істейтінін дәлелдейді, саясаттың қайта жүктеуден немесе рөл өзгерісінен кейін сақталатынын емес.

Егер көз жергілікті CMOS сағатын көрсетсе, құрылғы мүлдем синхрондалмайды, бұл әдетте домен контроллері жүктелу кезінде қолжетімсіз болғанын немесе уақыт қызметі саясатпен өшірілгенін білдіреді. Егер ол ашық серверді көрсетсе, домен иерархиясынан тыс бір нәрсе жеңіп тұр, және бұл желі емес, саясат мәселесі.

Роуминг кезінде не болатынын шешіңіз

Ажыратылған күйде құрылғы өзінің жергілікті сағатына және жете алатын кез келген уақыт провайдеріне сүйенеді. Ноутбуктер дрейфке ұшырайды, ал апталар бойы офлайн болған құрылғы қайта қосылғаннан кейінгі алғашқы Kerberos сұранысы сәтсіз болатындай ауытқуы мүмкін.

Қайта қосылғанда құрылғыға доменді анықтау және уақыт қызметінің көзделген жолы қажет, тек файл алмасуға маршрут емес. Мұны желіден тыс қайта жүктеу, VPN қосу және көзді қайта оқу арқылы тексеріңіз, иерархия өзін қалпына келтірді деп болжаудың орнына.

Виртуалды машиналар тағы бір провайдер қосады. Гипервизордың уақыт интеграциясы көптеген дизайндарда заңды көз, бірақ оның рөлі әдейі таңдалып, домен саясатымен үйлестірілуі керек. Келіспейтін екі провайдер тұрақты көрінетін және қате сағат жасайды.

Мүше саясатын беделден бөлек ұстаңыз

Қарапайым мүше конфигурациясы мен беделді сервердің конфигурациясы — өзгеше өзгеріс бақылауы бар өзгеше мәселелер. Оларды араластыру — күнделікті ноутбук саясатының өзгерісі бүкіл орманның сілтемесін өзгертуінің жолы.

Шешім жазбасын төрт жолмен жазыңыз: беделді көз, оны тасымалдайтын иерархия, роумингтегі әрекет және құрылғыдағы күйді дәлелдейтін пәрмен. Алғашқы үшеуі құжатталған және төртіншісі қайталанатын болса, уақытқа қатысты кіру ақауы VPN журналдарынан іздеудің орнына бес минуттық тексеріске айналады.