Kodėl VPN nesutvarko prie domeno prijungto nešiojamojo kompiuterio laikrodžio

Nuotolinis darbuotojas prisijungia prie VPN, tunelis pakyla, ir prisijungimai pradeda nepavykti su autentifikavimo klaida, kuri mini laiką. Tunelyje niekas nesugedę. VPN perneša paketus tarp tinklų; jis neduoda dviem mašinoms bendro laikrodžio, o domeno autentifikavimas, sertifikatų tikrinimas ir audito koreliacija visi priklauso nuo pakankamai artimų laikrodžių. Iš to kyla trys sprendimai: kam priklauso laikas domene, ką įrenginys iš tikrųjų naudoja ir kas vyksta, kol įrenginys keliauja.

Kelias nėra laikrodis

Kerberos autentifikavimas apima laikui jautrius duomenis ir atmeta užklausas, kurios nepatenka į sukonfigūruotą toleranciją, kuri Windows domenuose pagal nutylėjimą yra penkios minutės. Sertifikatai turi galiojimo intervalus, todėl įrenginys, kurio laikrodis pakankamai pabėgęs į priekį, galiojantį sertifikatą laiko dar negaliojančiu. Kelių mašinų audito įrašai koreliuoja tik tada, kai jų laikrodžiai arti, ir tai svarbu pirmą kartą, kai incidento peržiūra klausia, kas įvyko anksčiau.

Tos trys priklausomybės nepriklauso nuo tunelio. VPN pakėlimas keičia pasiekiamumą, o pasiekiamumas yra tai, kas leidžia įrenginiui rasti laiko šaltinį; jis nėra šaltinis.

Laikykite rodomą laiko juostą atskirai nuo paties laikrodžio. Du nešiojamieji, rodantys skirtingą vietos laiką, gali būti visiškai sinchronizuoti, o du, rodantys tą pačią valandą, gali skirtis minutėmis, jei jų laiko juostos nustatymai skiriasi. Laiko juostos keitimas nėra neteisingo laikrodžio taisymas, o datos atsukimas atgal, kad pasibaigęs sertifikatas veiktų, sugriauna visas kitas nuo laiko priklausomas mašinos patikras.

Nuspręskite, kam priklauso laikas domene

Prie domeno prijungti Windows nariai paprastai seka Active Directory laiko hierarchiją, o ne kiekvieną kartą klausia viešo serverio. Ši grandinė baigiasi miško šaknies PDC emuliatoriuje, kurio nuoroda yra organizacijos įgaliotasis šaltinis.

Nuorodą lemia dvi sąlygos: ar politika leidžia išorinę laiko tarnybą, ir ar tinklas gali patikimai pasiekti patvirtintą vidinį šaltinį iš kiekvienos vietos. Jei abi neaiškios, praktinis atsakymas yra išlaikyti hierarchiją nepažeistą ir sutvarkyti pasiekiamumą, o ne nukreipti klientus į viešą telkinį. Trečia sąlyga lemia gedimo kelią: ką įrenginys turi daryti, kai nepasiekiamas nė vienas šaltinis. Iš anksto tai išsprendus išvengiama improvizuoto sprendimo prisegti viešą serverį viename nešiojamajame.

Šis pasirinkimas priklauso domeno ir laiko administratoriams, o ne nuotolinės prieigos dizainui. Nešiojamasis, kuris pats save sukonfigūruoja kaip patikimą laiko instituciją, yra kita architektūra, ir retai būna ta, kurią patvirtino saugumo peržiūra.

Perskaitykite, ką įrenginys iš tikrųjų naudoja

Dvi tik skaitymui skirtos komandos dokumentuoja dabartinę būseną valdomame Windows įrenginyje, ir jas verta užfiksuoti prieš pakeitimą ir po jo:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Užsirašykite pasirinktą šaltinį, paskutinę sėkmingą sinchronizaciją ir stratum arba nuorodos identifikatorių šalia įrenginio valdymo politikos. Viena sėkminga rankinė sinchronizacija įrodo, kad komanda veikia, o ne kad politika išlieka po perkrovimo ar vaidmens pakeitimo.

Jei šaltinis rodo vietinį CMOS laikrodį, įrenginys visiškai nesinchronizuoja, o tai paprastai reiškia, kad domeno valdiklis buvo nepasiekiamas įjungiant arba laiko tarnyba buvo išjungta politikos. Jei jis rodo viešą serverį, laimi kažkas už domeno hierarchijos ribų, ir tai yra politikos, o ne tinklo klausimas.

Nuspręskite, kas vyksta keliaujant

Būdamas atjungtas, įrenginys remiasi savo vietiniu laikrodžiu ir visais laiko teikėjais, kuriuos gali pasiekti. Nešiojamieji dreifuoja, o įrenginys, kuris savaitėmis buvo neprisijungęs, gali nukrypti tiek, kad po prisijungimo nepavyktų pirmoji Kerberos užklausa.

Prisijungus iš naujo įrenginiui reikia domeno aptikimo ir numatyto kelio į laiko tarnybą, o ne tik maršruto į failų bendrinimą. Išbandykite tai perkraudami už tinklo ribų, prijungdami VPN ir dar kartą perskaitydami šaltinį, o ne manydami, kad hierarchija pati atsistatė.

Virtualios mašinos prideda dar vieną teikėją. Hypervisor laiko integracija daugelyje dizainų yra teisėtas šaltinis, bet jos vaidmuo turi būti pasirinktas sąmoningai ir suderintas su domeno politika. Du nesutariantys teikėjai sukuria laikrodį, kuris atrodo stabilus ir yra neteisingas.

Laikykite narių politiką atskirai nuo institucijos

Įprasta nario konfigūracija ir įgaliotojo serverio konfigūracija yra skirtingos problemos su skirtinga pakeitimų kontrole. Jų sumaišymas yra kelias, kuriuo įprastas nešiojamojo politikos pakeitimas galiausiai pakeičia viso miško nuorodą.

Sprendimo įrašą parašykite keturiomis eilutėmis: įgaliotasis šaltinis, jį nešanti hierarchija, elgsena keliaujant ir komanda, kuri įrodo būseną įrenginyje. Jei pirmosios trys dokumentuotos, o ketvirtoji pakartojama, su laiku susijusi prisijungimo klaida tampa penkių minučių patikra, o ne paieška VPN žurnaluose.