VPN이 도메인 가입 노트북의 시계를 고치지 못하는 이유

원격 근무자가 VPN에 연결하고 터널이 올라오면, 시간을 언급하는 인증 오류와 함께 로그인이 실패하기 시작한다. 터널 자체에는 아무 문제가 없다. VPN은 네트워크 사이로 패킷을 나른다지만 두 기계에 공유 시계를 주지는 않으며, 도메인 인증과 인증서 유효성 검사, 감사 로그 상관 분석은 모두 충분히 가까운 시계에 의존한다. 여기서 세 가지 결정이 나온다: 도메인의 시간을 누가 소유하는지, 기기가 실제로 무엇을 쓰는지, 기기가 로밍하는 동안 무슨 일이 일어나는지다.

경로는 시계가 아니다

Kerberos 인증은 시간에 민감한 데이터를 포함하며 Windows 도메인의 기본 허용 범위인 오 분을 벗어난 요청을 거부한다. 인증서에는 유효 기간이 있으므로 시계가 충분히 앞선 기기는 유효한 인증서를 아직 유효하지 않은 것으로 취급한다. 여러 기기의 감사 기록은 시계가 가까울 때만 상관되며, 사고 검토가 처음으로 무엇이 먼저 일어났는지 물을 때 이 점이 중요해진다.

그 세 의존성은 터널과 무관하다. VPN을 올리면 도달성이 바뀌고, 도달성이야말로 기기가 시간 원본을 찾게 해 주는 것이지 원본 자체는 아니다.

표시되는 시간대와 시계 자체를 분리해 두어야 한다. 서로 다른 현지 시각을 보여 주는 두 노트북이 완벽하게 동기화되어 있을 수 있고, 같은 시각을 보여 주는 두 노트북도 시간대 설정이 다르면 몇 분씩 어긋날 수 있다. 시간대를 바꾸는 것은 잘못된 시계의 수리가 아니며, 만료된 인증서를 통과시키려고 날짜를 뒤로 돌리면 그 기기의 다른 모든 시간 의존 검사가 깨진다.

도메인의 시간 소유자를 정한다

도메인 가입 Windows 구성원은 보통 매번 공용 서버에 묻는 대신 Active Directory의 시간 계층을 따른다. 그 사슬은 포리스트 루트의 PDC 에뮬레이터에서 끝나며, 그 참조가 조직의 권위 있는 원본이다.

참조를 정하는 조건은 두 가지로, 정책이 외부 시간 서비스를 허용하는지와 네트워크가 각 사이트에서 승인된 내부 원본에 안정적으로 닿는지다. 둘 다 불분명하면 실무적인 답은 계층을 그대로 두고 도달성을 고치는 것이지, 클라이언트를 공용 풀을 가리키게 하는 것이 아니다. 세 번째 조건은 실패 경로를 정한다: 어느 원본에도 닿지 못할 때 기기가 어떻게 해야 하는지다. 이를 미리 정해 두면 한 노트북에 공용 서버를 못 박는 즉흥적 처방을 피할 수 있다.

그 선택은 도메인 및 시간 관리자의 몫이지 원격 접속 설계의 몫이 아니다. 스스로를 신뢰할 수 있는 시간 권위로 구성하는 노트북은 다른 아키텍처이며, 보안 검토가 승인한 것은 드물게 그쪽이다.

기기가 실제로 무엇을 쓰는지 읽는다

관리되는 Windows 기기의 현재 상태는 읽기 전용 명령 두 개로 기록할 수 있으며, 변경 전후에 이를 남겨 둘 가치가 있다.

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

선택된 원본, 마지막 성공 동기화, 그리고 stratum 또는 참조 식별자를 기기의 관리 정책 옆에 적어 둔다. 수동 동기화가 한 번 성공한 것은 명령이 동작한다는 증거이지, 정책이 재부팅이나 역할 변경을 견딘다는 증거가 아니다.

원본이 로컬 CMOS 시계를 보여 준다면 기기는 전혀 동기화되지 않는 것이며, 보통 부팅 시 도메인 컨트롤러에 닿지 못했거나 시간 서비스가 정책으로 비활성화되었다는 뜻이다. 공용 서버를 보여 준다면 도메인 계층 밖의 무언가가 이기고 있는 것이고, 이는 네트워크가 아니라 정책의 문제다.

로밍 중에 무슨 일이 일어나는지 정한다

연결이 끊긴 동안 기기는 로컬 시계와 닿을 수 있는 시간 공급자에 의존한다. 노트북은 표류하며, 몇 주 동안 오프라인이었던 기기는 다시 연결한 뒤 첫 Kerberos 요청이 실패할 만큼 어긋날 수 있다.

다시 연결될 때 기기에는 도메인 검색과 의도된 시간 서비스 경로가 필요하며, 파일 공유로 가는 경로만으로는 부족하다. 네트워크 밖에서 재부팅하고 VPN을 연결한 뒤 원본을 다시 읽어 확인하고, 계층이 스스로 복구되었다고 가정하지 마십시오.

가상 머신은 공급자를 하나 더 추가한다. 하이퍼바이저 시간 통합은 많은 설계에서 정당한 원본이지만, 그 역할은 의도적으로 선택하고 도메인 정책과 조정해야 한다. 서로 어긋나는 두 공급자는 안정적으로 보이지만 틀린 시계를 만든다.

구성원 정책과 권위를 분리한다

일반 구성원 구성과 권위 있는 서버의 구성은 변경 관리가 다른 별개의 문제다. 이를 섞는 것이 일상적인 노트북 정책 변경이 결국 포리스트 전체의 참조를 바꾸게 되는 경로다.

결정 기록은 네 줄로 쓴다: 권위 있는 원본, 그것을 나르는 계층, 로밍 시 동작, 그리고 기기에서 상태를 증명하는 명령이다. 처음 세 가지가 문서화되고 네 번째가 반복 가능하다면, 시간과 관련된 로그인 실패는 VPN 로그를 뒤지는 일이 아니라 오 분짜리 점검이 된다.