Kāpēc VPN nesalabo domēnam pievienota klēpjdatora pulksteni

Attālināts darbinieks pieslēdz VPN, tunelis paceļas, un pieteikšanās sāk neizdoties ar autentifikācijas kļūdu, kas piemin laiku. Tunelī nekas nav salūzis. VPN pārvadā paketes starp tīkliem; tas nedod divām mašīnām kopīgu pulksteni, un domēna autentifikācija, sertifikātu pārbaude un audita korelācija visas ir atkarīgas no pulksteņiem, kas sakrīt pietiekami cieši. No tā izriet trīs lēmumi: kam pieder laiks domēnā, ko ierīce faktiski izmanto un kas notiek, kamēr ierīce klejo.

Ceļš nav pulkstenis

Kerberos autentifikācija ietver laikjutīgus datus un noraida pieprasījumus ārpus konfigurētās pielaides, kas Windows domēnos pēc noklusējuma ir piecas minūtes. Sertifikātiem ir derīguma intervāli, tāpēc ierīce, kuras pulkstenis ir pietiekami priekšā, uzskata derīgu sertifikātu par vēl nederīgu. Vairāku mašīnu audita ieraksti korelē tikai tad, ja to pulksteņi ir tuvu, un tas ir svarīgi pirmajā reizē, kad incidenta pārskats jautā, kas notika pirmais.

Šīs trīs atkarības nav saistītas ar tuneli. VPN pacelšana maina sasniedzamību, un sasniedzamība ir tas, kas ļauj ierīcei atrast laika avotu; tā nav avots.

Turiet parādīto laika joslu atsevišķi no paša pulksteņa. Divi klēpjdatori, kas rāda atšķirīgu vietējo laiku, var būt pilnīgi sinhronizēti, un divi, kas rāda to pašu stundu, var atšķirties par minūtēm, ja to laika joslas iestatījumi atšķiras. Laika joslas maiņa nav nepareiza pulksteņa labošana, un datuma pārbīdīšana atpakaļ, lai derētu beidzies sertifikāts, salauž visas pārējās no laika atkarīgās pārbaudes mašīnā.

Izlemiet, kam pieder laiks domēnā

Domēnam pievienotie Windows dalībnieki parasti seko Active Directory laika hierarhijai, nevis katru reizi jautā publiskam serverim. Šī ķēde beidzas meža saknes PDC emulatorā, kura atsauce ir organizācijas autoritatīvais avots.

Atsauci nosaka divi nosacījumi: vai politika atļauj ārēju laika pakalpojumu, un vai tīkls var droši sasniegt apstiprinātu iekšējo avotu no katras vietas. Ja abi ir neskaidri, praktiskā atbilde ir saglabāt hierarhiju neskartu un salabot sasniedzamību, nevis vērst klientus uz publisku pūlu. Trešais nosacījums nosaka kļūdas ceļu: kas ierīcei jādara, ja neviens avots nav sasniedzams. To iepriekš izlemjot, izvairās no improvizēta risinājuma piespraust publisku serveri vienam klēpjdatoram.

Šī izvēle pieder domēna un laika administratoriem, nevis attālinātās piekļuves dizainam. Klēpjdators, kas pats sevi konfigurē kā uzticamu laika autoritāti, ir cita arhitektūra, un reti tā ir tā, ko apstiprināja drošības pārskats.

Izlasiet, ko ierīce faktiski izmanto

Divas tikai lasāmas komandas dokumentē pašreizējo stāvokli pārvaldītā Windows ierīcē, un tās ir vērts fiksēt pirms izmaiņām un pēc tām:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Pierakstiet izvēlēto avotu, pēdējo veiksmīgo sinhronizāciju un stratum vai atsauces identifikatoru līdzās ierīces pārvaldības politikai. Viena veiksmīga manuāla sinhronizācija pierāda, ka komanda darbojas, nevis ka politika pārdzīvo restartu vai lomas maiņu.

Ja avots rāda vietējo CMOS pulksteni, ierīce vispār nesinhronizējas, kas parasti nozīmē, ka domēna kontrolieris startēšanas laikā nebija sasniedzams vai laika pakalpojums tika atslēgts ar politiku. Ja tas rāda publisku serveri, uzvar kaut kas ārpus domēna hierarhijas, un tas ir politikas, nevis tīkla jautājums.

Izlemiet, kas notiek klejošanas laikā

Kamēr ierīce ir atvienota, tā paļaujas uz savu vietējo pulksteni un visiem laika pakalpojumu sniedzējiem, kurus tā var sasniegt. Klēpjdatori dreifē, un ierīce, kas nedēļām ilgi bijusi bezsaistē, var novirzīties pietiekami, lai pēc atkārtotas pieslēgšanās neizdotos pirmais Kerberos pieprasījums.

Atkārtoti pieslēdzoties, ierīcei nepieciešama domēna atklāšana un paredzētais ceļš uz laika pakalpojumu, nevis tikai maršruts uz failu koplietojumu. Pārbaudiet to, restartējot ārpus tīkla, pieslēdzot VPN un vēlreiz nolasot avotu, nevis pieņemot, ka hierarhija pati atjaunojās.

Virtuālās mašīnas pievieno vēl vienu sniedzēju. Hipervizora laika integrācija daudzos dizainos ir likumīgs avots, bet tās loma ir jāizvēlas apzināti un jāsaskaņo ar domēna politiku. Divi nesaskaņoti sniedzēji rada pulksteni, kas izskatās stabils un ir nepareizs.

Turiet dalībnieku politiku atsevišķi no autoritātes

Parastā dalībnieka konfigurācija un autoritatīvā servera konfigurācija ir dažādas problēmas ar atšķirīgu izmaiņu kontroli. To sajaukšana ir ceļš, kā parasta klēpjdatora politikas izmaiņa galu galā maina atsauci visam mežam.

Uzrakstiet lēmumu četrās rindās: autoritatīvais avots, to nesošā hierarhija, uzvedība klejošanas laikā un komanda, kas pierāda stāvokli ierīcē. Ja pirmās trīs ir dokumentētas un ceturtā atkārtojama, ar laiku saistīta pieteikšanās kļūda kļūst par piecu minūšu pārbaudi, nevis medībām VPN žurnālos.