Mengapa VPN tidak membaiki jam pada komputer riba yang menyertai domain

Pekerja jauh menyambung VPN, tunnel naik, dan log masuk mula gagal dengan ralat pengesahan yang menyebut masa. Tiada apa yang rosak pada tunnel. VPN membawa paket antara rangkaian; ia tidak memberi dua mesin jam kongsi, dan pengesahan domain, pengesahan sijil serta korelasi audit semuanya bergantung pada jam yang bersetuju cukup rapat. Daripadanya tiga keputusan menyusul: siapa pemilik masa dalam domain, apa yang sebenarnya digunakan peranti, dan apa yang berlaku semasa peranti merayau.

Laluan bukan jam

Pengesahan Kerberos mengandungi data sensitif masa dan menolak permintaan di luar toleransi yang dikonfigurasikan, iaitu lima minit secara lalai dalam domain Windows. Sijil membawa selang kesahihan, jadi peranti yang jamnya cukup ke hadapan menganggap sijil yang sah sebagai belum sah. Rekod audit daripada beberapa mesin hanya berkorelasi jika jamnya berdekatan, dan itu penting kali pertama semakan insiden bertanya apa yang berlaku dahulu.

Ketiga-tiga kebergantungan itu tidak bergantung pada tunnel. Menghidupkan VPN mengubah kebolehcapaian, dan kebolehcapaian itulah yang membolehkan peranti menemui sumber masa; ia bukan sumbernya.

Asingkan zon waktu yang dipaparkan daripada jam itu sendiri. Dua komputer riba yang memaparkan waktu tempatan berbeza boleh disegerakkan sepenuhnya, dan dua yang memaparkan jam sama boleh berbeza beberapa minit jika tetapan zon waktunya berbeza. Menukar zon waktu bukan pembaikan jam yang salah, dan mengundurkan tarikh supaya sijil luput berfungsi merosakkan setiap semakan lain pada mesin yang bergantung pada masa.

Tentukan siapa pemilik masa dalam domain

Ahli Windows yang menyertai domain biasanya mengikut hierarki masa Active Directory dan bukan bertanya pelayan awam setiap kali. Rantaian itu berakhir pada emulator PDC akar hutan, yang rujukannya ialah sumber berwibawa organisasi.

Dua syarat menentukan rujukan: sama ada dasar membenarkan perkhidmatan masa luaran, dan sama ada rangkaian boleh mencapai sumber dalaman yang diluluskan secara boleh dipercayai dari setiap tapak. Jika kedua-duanya tidak jelas, jawapan praktikal ialah mengekalkan hierarki utuh dan membaiki kebolehcapaian dan bukannya menuding klien ke kolam awam. Syarat ketiga menentukan laluan kegagalan: apa yang perlu dilakukan peranti apabila tiada sumber boleh dicapai. Menetapkannya lebih awal mengelakkan pembaikan dadakan memasak pelayan awam pada satu komputer riba.

Pilihan itu milik pentadbir domain dan masa, bukan reka bentuk akses jauh. Komputer riba yang mengkonfigurasi dirinya sebagai autoriti masa yang boleh dipercayai ialah seni bina lain, dan jarang yang diluluskan oleh semakan keselamatan.

Baca apa yang sebenarnya digunakan peranti

Dua arahan baca sahaja mendokumentasikan keadaan semasa pada peranti Windows yang diurus, dan ia wajar dirakam sebelum dan selepas perubahan:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Catat sumber yang dipilih, penyegerakan berjaya terakhir dan stratum atau pengecam rujukan di sebelah dasar pengurusan peranti. Satu penyegerakan manual yang berjaya membuktikan arahan itu berfungsi, bukan bahawa dasar itu bertahan selepas but semula atau perubahan peranan.

Jika sumber menunjukkan jam CMOS tempatan, peranti tidak menyegerak langsung, yang biasanya bermakna pengawal domain tidak dapat dicapai semasa but atau perkhidmatan masa dilumpuhkan oleh dasar. Jika ia menunjukkan pelayan awam, sesuatu di luar hierarki domain sedang menang, dan itu persoalan dasar, bukan rangkaian.

Tentukan apa yang berlaku semasa merayau

Semasa terputus, peranti bergantung pada jam tempatannya dan mana-mana pembekal masa yang dapat dicapai. Komputer riba hanyut, dan peranti yang luar talian selama minggu boleh hanyut cukup jauh sehingga permintaan Kerberos pertama selepas sambung semula gagal.

Semasa sambung semula, peranti memerlukan penemuan domain dan laluan perkhidmatan masa yang dimaksudkan, bukan sekadar laluan ke perkongsian fail. Ujinya dengan but semula di luar rangkaian, menyambung VPN dan membaca sumber itu semula dan bukannya menganggap hierarki menegakkan dirinya sendiri.

Mesin maya menambah pembekal lain. Integrasi masa hypervisor ialah sumber sah dalam banyak reka bentuk, tetapi peranannya harus dipilih dengan sengaja dan diselaraskan dengan dasar domain. Dua pembekal yang tidak bersetuju menghasilkan jam yang kelihatan stabil dan salah.

Asingkan dasar ahli daripada autoriti

Konfigurasi ahli biasa dan konfigurasi pelayan berwibawa ialah masalah berbeza dengan kawalan perubahan berbeza. Mencampurkannya ialah cara perubahan dasar komputer riba rutin akhirnya mengubah rujukan untuk seluruh hutan.

Tulis rekod keputusan dalam empat baris: sumber berwibawa, hierarki yang membawanya, tingkah laku semasa merayau, dan arahan yang membuktikan keadaan pada peranti. Jika tiga yang pertama didokumenkan dan yang keempat boleh diulang, kegagalan log masuk berkaitan masa menjadi semakan lima minit dan bukannya perburuan dalam log VPN.