Зошто VPN не го поправа часовникот на лаптоп поврзан со домен

Далечински работник се поврзува со VPN, тунелот се крева и најавите почнуваат да паѓаат со грешка при автентикација што го споменува времето. Ништо на тунелот не е расипано. VPN пренесува пакети меѓу мрежи; тој не им дава на две машини заеднички часовник, а автентикацијата на доменот, проверката на сертификати и корелацијата на ревизијата сите зависат од часовници што се совпаѓаат доволно блиску. Оттука следуваат три одлуки: кому му припаѓа времето во доменот, што всушност користи уредот и што се случува додека уредот роамира.

Патеката не е часовник

Автентикацијата Kerberos содржи податоци чувствителни на време и ги одбива барањата надвор од конфигурираната толеранција, која во домените на Windows по стандард е пет минути. Сертификатите имаат интервали на важност, па уред чиј часовник е доволно напреден го смета важечкиот сертификат за сѐ уште неважечки. Записите од ревизијата од повеќе машини се корелираат само ако часовниците им се блиску, а тоа е важно првиот пат кога прегледот на инцидент прашува што се случило прво.

Тие три зависности се независни од тунелот. Кревањето на VPN ја менува достапноста, а достапноста е тоа што му овозможува на уредот да најде извор на време; таа не е изворот.

Држете ја прикажаната временска зона одвоена од самиот часовник. Два лаптопи што прикажуваат различно локално време можат да бидат совршено синхронизирани, а два што прикажуваат ист час можат да се разликуваат за минути ако нивните поставки за временска зона се разликуваат. Менувањето на временската зона не е поправка на погрешен часовник, а поместувањето на датумот наназад за да проработи истечен сертификат ги крши сите други проверки на машината зависни од времето.

Одлучете кому му припаѓа времето во доменот

Членовите на Windows поврзани со домен обично ја следат временската хиерархија на Active Directory наместо секој пат да прашуваат јавен сервер. Тој синџир завршува кај емулаторот PDC на коренот на шумата, чија референца е авторитативниот извор на организацијата.

Референцата ја одредуваат два услови: дали политиката дозволува надворешна временска служба и дали мрежата може сигурно да стигне до одобрен внатрешен извор од секоја локација. Ако двете се нејасни, практичниот одговор е да се задржи хиерархијата недопрена и да се поправи достапноста наместо клиентите да се упатуваат на јавен базен. Трет услов ја одредува патеката на дефект: што треба да прави уредот кога ниту еден извор не е достапен. Решавањето однапред ја избегнува импровизираната поправка да се закачи јавен сервер на еден лаптоп.

Тој избор им припаѓа на администраторите на доменот и на времето, а не на дизајнот на далечински пристап. Лаптоп што се конфигурира себеси како сигурен авторитет за време е друга архитектура и ретко е онаа што ја одобрила безбедносната проверка.

Прочитајте што всушност користи уредот

Две команди само за читање ја документираат моменталната состојба на управуван уред со Windows, и вреди да се запишат пред и по промена:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Запишете го избраниот извор, последната успешна синхронизација и стратумот или идентификаторот на референцата покрај политиката за управување на уредот. Една успешна рачна синхронизација докажува дека командата работи, а не дека политиката преживува рестарт или промена на улога.

Ако изворот го прикажува локалниот часовник CMOS, уредот воопшто не се синхронизира, што обично значи дека контролерот на доменот не бил достапен при подигнување или дека временската служба била оневозможена со политика. Ако прикажува јавен сервер, победува нешто надвор од хиерархијата на доменот, и тоа е прашање на политика, а не на мрежа.

Одлучете што се случува при роаминг

Додека е исклучен, уредот се потпира на својот локален часовник и на сите даватели на време до кои може да стигне. Лаптопите дрифтаат, а уред што бил офлајн со недели може да отстапи доволно за да падне првото барање на Kerberos по повторното поврзување.

При повторно поврзување, на уредот му треба откривање на доменот и предвидената патека до временската служба, не само рута до споделен ресурс. Тестирајте го тоа со рестартирање надвор од мрежата, поврзување со VPN и повторно читање на изворот, наместо да претпоставите дека хиерархијата сама се вратила.

Виртуелните машини додаваат уште еден давател. Временската интеграција на хипервизорот е легитимен извор во многу дизајни, но нејзината улога треба да се избере свесно и да се усогласи со политиката на доменот. Два даватели што не се согласуваат создаваат часовник што изгледа стабилен и е погрешен.

Држете ја политиката за членови одвоена од авторитетот

Обичната конфигурација на член и конфигурацијата на авторитативниот сервер се различни проблеми со различен контролен механизам за промени. Нивното мешање е патот на кој рутинска промена на политика на лаптоп на крајот ја менува референцата за целата шума.

Запишете ја одлуката во четири реда: авторитативниот извор, хиерархијата што го носи, однесувањето при роаминг и командата што ја докажува состојбата на уредот. Ако првите три се документирани, а четвртата е повторлива, дефектот при најава поврзан со време станува проверка од пет минути наместо лов низ дневниците на VPN.