Эмне үчүн VPN доменге кошулган ноутбуктун саатын оңдобойт

Алыскы кызматкер VPN кошулат, туннель көтөрүлөт, жана кирүүлөр убакытты эске салган аутентификация катасы менен ишке ашпай баштайт. Туннелде эч нерсе бузулган эмес. VPN тармактар арасында пакеттерди ташыйт; ал эки машинага жалпы саат бербейт, ал эми домен аутентификациясы, сертификаттарды текшерүү жана аудит корреляциясы жетиштүү жакын дал келген сааттарга көз каранды. Андан үч чечим келип чыгат: домендеги убакыт кимге таандык, түзмөк чындыгында эмнени колдонот жана түзмөк роумингде болгондо эмне болот.

Маршрут саат эмес

Kerberos аутентификациясы убакытка сезимтал маалыматтарды камтыйт жана конфигурацияланган чыдамкайлыктан тышкары сурамдарды четке кагат, ал Windows домендеринде демейки боюнча беш мүнөт. Сертификаттардын жарактуулук аралыктары бар, ошондуктан сааты жетиштүү алдыда кеткен түзмөк жарактуу сертификатты али жараксыз деп эсептейт. Бир нече машинанын аудит жазуулары сааттары жакын болгондо гана корреляцияланат, жана бул окуяны кароо биринчи жолу эмне мурун болгонун сураганда маанилүү.

Бул үч көз карандылык туннелге байланыштуу эмес. VPN көтөрүү жеткиликтүүлүктү өзгөртөт, ал эми жеткиликтүүлүк — түзмөккө убакыт булагын табууга мүмкүндүк берген нерсе; ал булактын өзү эмес.

Көрсөтүлгөн убакыт алкагын сааттын өзүнөн өзүнчө кармаңыз. Ар башка жергиликтүү убакытты көрсөткөн эки ноутбук толук синхрондошкон болушу мүмкүн, ал эми бирдей саатты көрсөткөн экөө убакыт алкагынын жөндөөлөрү ар башка болсо мүнөттөр менен айырмаланышы мүмкүн. Убакыт алкагын өзгөртүү туура эмес саатты оңдоо эмес, ал эми мөөнөтү өткөн сертификатты иштетүү үчүн күндү артка жылдыруу машинадагы убакытка көз каранды бардык башка текшерүүлөрдү бузат.

Домендеги убакыт кимге таандык экенин чечиңиз

Доменге кошулган Windows мүчөлөрү адатта ар жолу ачык серверден сурагандын ордуна Active Directory убакыт иерархиясын ээрчишет. Бул чынжыр токойдун тамырынын PDC эмуляторунда бүтөт, анын шилтемеси уюмдун ыйгарым укуктуу булагы болуп саналат.

Шилтемени эки шарт аныктайт: саясат тышкы убакыт кызматына уруксат береби, жана тармак ар бир сайттан бекитилген ички булакка ишенимдүү жетеби. Экөө тең бүдөмүк болсо, практикалык жооп — иерархияны бузулбай сактап, кардарларды ачык пулга багыттоонун ордуна жеткиликтүүлүктү оңдоо. Үчүнчү шарт ката жолун аныктайт: эки булакка тең жетүү мүмкүн болбогондо түзмөк эмне кылышы керек. Муну алдын ала чечүү бир ноутбукка ачык серверди кадап коюунун импровизацияланган оңдоосунан сактайт.

Бул тандоо домен жана убакыт администраторлоруна таандык, алыскы кирүү долбооруна эмес. Өзүн ишенимдүү убакыт органы катары конфигурациялаган ноутбук — башка архитектура, жана коопсуздук кароосу бекиткен нерсе сейрек ошол болот.

Түзмөк чындыгында эмнени колдонгонун окуңуз

Башкарылуучу Windows түзмөгүндөгү учурдагы абалды окууга гана арналган эки буйрук документтештирет, жана аларды өзгөртүүдөн мурун жана кийин жазып коюу керек:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Тандалган булакты, акыркы ийгиликтүү синхрондоону жана stratum же шилтеме идентификаторун түзмөктүн башкаруу саясатынын жанына жазыңыз. Бир ийгиликтүү кол менен синхрондоо буйруктун иштээрин далилдейт, саясаттын кайра жүктөөдөн же ролдун өзгөрүүсүнөн кийин сакталарын эмес.

Эгер булак жергиликтүү CMOS саатын көрсөтсө, түзмөк такыр синхрондошпойт, бул адатта домен контроллери жүктөө учурунда жеткиликсиз болгонун же убакыт кызматы саясат менен өчүрүлгөнүн билдирет. Эгер ал ачык серверди көрсөтсө, домен иерархиясынын сыртындагы бир нерсе жеңип жатат, жана бул тармак эмес, саясат маселеси.

Роуминг учурунда эмне болорун чечиңиз

Ажыратылган абалда түзмөк өзүнүн жергиликтүү саатына жана жете алган ар кандай убакыт провайдерине таянат. Ноутбуктер дрейфке учурайт, жана жума бою офлайн болгон түзмөк кайра кошулгандан кийинки биринчи Kerberos сурамы ишке ашпай калгыдай четтеп кетиши мүмкүн.

Кайра кошулганда түзмөккө доменди аныктоо жана убакыт кызматынын көздөлгөн жолу керек, файл алмашууга маршрут гана эмес. Муну тармактын сыртында кайра жүктөө, VPN кошуу жана булакты кайра окуу менен текшериңиз, иерархия өзүн калыбына келтирди деп божомолдоонун ордуна.

Виртуалдык машиналар дагы бир провайдерди кошот. Гипервизордун убакыт интеграциясы көп долбоорлордо мыйзамдуу булак, бирок анын ролу атайын тандалып, домен саясаты менен шайкештештирилиши керек. Макулдашпаган эки провайдер туруктуу көрүнгөн жана туура эмес саат жаратат.

Мүчө саясатын ыйгарым укуктан өзүнчө кармаңыз

Кадимки мүчө конфигурациясы жана ыйгарым укуктуу сервердин конфигурациясы — ар башка өзгөрүү көзөмөлү бар ар башка маселелер. Аларды аралаштыруу — күнүмдүк ноутбук саясатынын өзгөрүүсү бүт токойдун шилтемесин өзгөртүүсүнүн жолу.

Чечим жазуусун төрт сап менен жазыңыз: ыйгарым укуктуу булак, аны ташыган иерархия, роумингдеги жүрүм-турум жана түзмөктөгү абалды далилдеген буйрук. Биринчи үчөө документтештирилген жана төртүнчүсү кайталануучу болсо, убакытка байланыштуу кирүү катасы VPN журналдарынан издөөнүн ордуна беш мүнөттүк текшерүүгө айланат.