Għaliex VPN ma jsewwix l-arloġġ ta’ laptop imsieħeb mad-dominju

Ħaddiem mill-bogħod iqabbad il-VPN, it-tunnel jogħla, u l-logins jibdew ifallu bi żball ta’ awtentikazzjoni li jsemmi l-ħin. Xejn fit-tunnel mhuwa miksi. VPN iġorr pakketti bejn netwerks; ma jagħtix żewġ magni arloġġ komuni, u l-awtentikazzjoni tad-dominju, il-validazzjoni taċ-ċertifikati u l-korrelazzjoni tal-awdit kollha jiddependu fuq arloġġi li jaqblu biżżejjed. Minn hemm joħorġu tliet deċiżjonijiet: min għandu l-ħin fid-dominju, x’qed juża l-apparat fil-verità, u x’jiġri waqt li l-apparat ikun qed jitbiegħed.

Mogħdija mhix arloġġ

L-awtentikazzjoni Kerberos tinkludi data sensittiva għall-ħin u tirrifjuta talbiet barra t-tolleranza kkonfigurata, li fid-dominji Windows hija ħames minuti b’mod awtomatiku. Iċ-ċertifikati jġorru intervalli ta’ validità, għalhekk apparat li l-arloġġ tiegħu jkun biżżejjed ’il quddiem iqis ċertifikat valid bħala li għadu mhux validu. Ir-rekords tal-awdit minn diversi magni jikkorrelaw biss jekk l-arloġġi tagħhom ikunu qrib, u dan jgħodd l-ewwel darba li reviżjoni ta’ inċident tistaqsi x’ġara l-ewwel.

Dawk it-tliet dipendenzi huma indipendenti mit-tunnel. It-tlugħ tal-VPN ibiddel l-aċċessibilità, u l-aċċessibilità hija dik li tippermetti lill-apparat isib sors tal-ħin; mhijiex is-sors.

Żomm iż-żona tal-ħin murija separata mill-arloġġ innifsu. Żewġ laptops li juru ħinijiet lokali differenti jistgħu jkunu sinkronizzati perfettament, u tnejn li juru l-istess siegħa jistgħu jaqblu ħażin b’minuti jekk is-settings taż-żona tal-ħin tagħhom ikunu differenti. Il-bidla taż-żona tal-ħin mhijiex tiswija ta’ arloġġ żbaljat, u li ċċaqlaq data lura biex ċertifikat skadut jaħdem tkisser kull verifika oħra fuq il-magna li tiddependi mill-ħin.

Iddeċiedi min għandu l-ħin fid-dominju

Il-membri Windows imsieħba mad-dominju normalment isegwu l-ġerarkija tal-ħin ta’ Active Directory minflok ma jistaqsu server pubbliku kull darba. Din il-katina tintemm fl-emulatur PDC tal-għerq tal-foresta, li r-referenza tiegħu hija s-sors awtorevoli tal-organizzazzjoni.

Żewġ kundizzjonijiet jiddeċiedu r-referenza: jekk il-politika tippermettix servizz tal-ħin estern, u jekk in-netwerk jistax jilħaq sors intern approvat b’mod affidabbli minn kull sit. Jekk it-tnejn mhumiex ċari, it-tweġiba prattika hija li l-ġerarkija tinżamm intatta u l-aċċessibilità tiġi msewwija minflok ma l-klijenti jiġu indikati lejn ġabra pubblika. It-tielet kundizzjoni tiddeċiedi l-mogħdija tal-falliment: x’għandu jagħmel l-apparat meta lanqas sors wieħed ma jkun jista’ jintlaħaq. Li dan jiġi deċiż bil-quddiem jevita t-tiswija improvviżata li server pubbliku jiġi mwaħħal ma’ laptop wieħed.

Dik l-għażla tappartjeni lill-amministraturi tad-dominju u tal-ħin, mhux lid-disinn tal-aċċess mill-bogħod. Laptop li jikkonfigura lilu nnifsu bħala awtorità tal-ħin affidabbli hija arkitettura oħra, u rari tkun dik li approvat ir-reviżjoni tas-sigurtà.

Aqra x’qed juża l-apparat fil-verità

Żewġ kmandi biss-qari jiddokumentaw l-istat attwali fuq apparat Windows immaniġġjat, u jaqbel li jiġu rrekordjati qabel u wara bidla:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Innota s-sors magħżul, l-aħħar sinkronizzazzjoni b’suċċess u l-istratum jew l-identifikatur ta’ referenza ħdejn il-politika tal-ġestjoni tal-apparat. Sinkronizzazzjoni manwali waħda b’suċċess turi li l-kmand jaħdem, mhux li l-politika tibqa’ wara riavvjar jew bidla ta’ rwol.

Jekk is-sors juri l-arloġġ CMOS lokali, l-apparat mhuwiex qed jissinkronizza xejn, li normalment ifisser li l-kontrollur tad-dominju ma kienx jintlaħaq waqt il-boot jew is-servizz tal-ħin kien diżattivat mill-politika. Jekk juri server pubbliku, xi ħaġa barra l-ġerarkija tad-dominju qed tirbaħ, u din hija kwistjoni ta’ politika, mhux ta’ netwerk.

Iddeċiedi x’jiġri waqt il-mobbiltà

Waqt li jkun skonnettjat, apparat jiddependi mill-arloġġ lokali tiegħu u minn kwalunkwe fornitur tal-ħin li jista’ jilħaq. Il-laptops jiżdriftjaw, u apparat li jkun ilu offline għal ġimgħat jista’ jiżdriftja biżżejjed biex ifalli l-ewwel talba Kerberos wara li jerġa’ jingħaqad.

Meta jerġa’ jingħaqad, l-apparat jeħtieġ skoperta tad-dominju u l-mogħdija maħsuba tas-servizz tal-ħin, mhux biss rotta lejn kondiviżjoni tal-fajls. Iċċekkja dan billi terġa’ tibbottja barra n-netwerk, tqabbad il-VPN u terġa’ taqra s-sors minflok ma tassumi li l-ġerarkija reġgħet stabbilixxiet ruħha.

Il-magni virtwali jżidu fornitur ieħor. L-integrazzjoni tal-ħin tal-hypervisor hija sors leġittimu f’ħafna disinji, iżda r-rwol tagħha għandu jintgħażel b’mod deliberat u jiġi kkoordinat mal-politika tad-dominju. Żewġ fornituri li ma jaqblux jipproduċu arloġġ li jidher stabbli u li huwa żbaljat.

Żomm il-politika tal-membri separata mill-awtorità

Il-konfigurazzjoni ordinarja tal-membru u l-konfigurazzjoni tas-server awtorevoli huma problemi differenti b’kontroll tal-bidliet differenti. Li tħallathom hija l-mod kif bidla ta’ rutina fil-politika tal-laptop tispiċċa tbiddel ir-referenza għall-foresta kollha.

Ikteb ir-rekord tad-deċiżjoni f’erba’ linji: is-sors awtorevoli, il-ġerarkija li ġġorru, l-imġiba waqt il-mobbiltà, u l-kmand li jipprova l-istat fuq apparat. Jekk l-ewwel tlieta huma dokumentati u r-raba’ jista’ jiġi ripetut, falliment tal-login marbut mal-ħin isir verifika ta’ ħames minuti minflok kaċċa fil-logs tal-VPN.