Waarom een VPN de klok van een domein-laptop niet repareert

Een medewerker op afstand maakt de VPN-verbinding, de tunnel komt op en aanmeldingen beginnen te mislukken met een authenticatiefout die tijd noemt. Aan de tunnel is niets kapot. Een VPN draagt pakketten tussen netwerken; hij geeft twee machines geen gedeelde klok, en domeinauthenticatie, certificaatvalidatie en auditcorrelatie hangen allemaal af van klokken die dicht genoeg overeenkomen. Daaruit volgen drie beslissingen: wie de tijd in het domein bezit, wat het apparaat werkelijk gebruikt en wat er gebeurt terwijl het apparaat roamt.

Een pad is geen klok

Kerberos-authenticatie bevat tijdsgevoelige gegevens en weigert verzoeken buiten een geconfigureerde tolerantie, die in Windows-domeinen standaard vijf minuten is. Certificaten hebben geldigheidsintervallen, dus een apparaat waarvan de klok ver genoeg voorloopt behandelt een geldig certificaat als nog niet geldig. Auditrecords van meerdere machines correleren alleen als hun klokken dicht bij elkaar liggen, en dat telt de eerste keer dat een incidentreview vraagt wat er eerst gebeurde.

Die drie afhankelijkheden staan los van de tunnel. Een VPN opzetten verandert de bereikbaarheid, en bereikbaarheid is wat een apparaat een tijdbron laat vinden; het is niet de bron.

Houd de weergegeven tijdzone gescheiden van de klok zelf. Twee laptops die verschillende lokale tijden tonen kunnen perfect gesynchroniseerd zijn, en twee die hetzelfde uur tonen kunnen minuten verschillen als hun tijdzone-instellingen verschillen. De tijdzone wijzigen is geen reparatie van een verkeerde klok, en een datum terugzetten om een verlopen certificaat te laten werken breekt elke andere tijdsafhankelijke controle op de machine.

Bepaal wie de tijd in het domein bezit

Leden van een Windows-domein volgen normaal de tijdhiërarchie van Active Directory in plaats van elke keer een openbare server te vragen. Die keten eindigt bij de PDC-emulator van de forest root, wiens referentie de gezaghebbende bron van de organisatie is.

Twee voorwaarden bepalen de referentie: of beleid een externe tijddienst toestaat, en of het netwerk vanaf elke locatie betrouwbaar een goedgekeurde interne bron kan bereiken. Als beide onduidelijk zijn, is het praktische antwoord de hiërarchie intact te laten en de bereikbaarheid te repareren in plaats van clients naar een openbare pool te wijzen. Een derde voorwaarde bepaalt het foutpad: wat het apparaat moet doen als geen van beide bronnen bereikbaar is. Dat vooraf beslechten voorkomt de geïmproviseerde oplossing om een openbare server op één laptop vast te pinnen.

Die keuze hoort bij de domein- en tijdbeheerders, niet bij het ontwerp van toegang op afstand. Een laptop die zichzelf als betrouwbare tijdauthoriteit configureert is een andere architectuur, en het is zelden degene die de beveiligingsreview heeft goedgekeurd.

Lees wat het apparaat werkelijk gebruikt

Twee alleen-lezen-opdrachten documenteren de huidige toestand op een beheerd Windows-apparaat, en het loont ze voor en na een wijziging vast te leggen:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Noteer de gekozen bron, de laatste geslaagde synchronisatie en de stratum of referentie-identificatie naast het beheerbeleid van het apparaat. Eén geslaagde handmatige synchronisatie bewijst dat de opdracht werkt, niet dat het beleid een herstart of een rolwijziging overleeft.

Toont de bron de lokale CMOS-klok, dan synchroniseert het apparaat helemaal niet, wat meestal betekent dat de domeincontroller bij het opstarten onbereikbaar was of dat de tijddienst door beleid is uitgeschakeld. Toont hij een openbare server, dan wint iets buiten de domeinhiërarchie, en dat is een beleidsvraag, geen netwerkvraag.

Bepaal wat er gebeurt tijdens roaming

Zolang het apparaat losgekoppeld is, vertrouwt het op zijn lokale klok en op elke tijdaanbieder die het kan bereiken. Laptops driften, en een apparaat dat weken offline is geweest kan ver genoeg afwijken om het eerste Kerberos-verzoek na het opnieuw verbinden te laten mislukken.

Bij het opnieuw verbinden heeft het apparaat domeindetectie en het bedoelde pad naar de tijddienst nodig, niet alleen een route naar een bestandsshare. Test dat door buiten het netwerk opnieuw op te starten, de VPN te verbinden en de bron opnieuw te lezen in plaats van aan te nemen dat de hiërarchie zichzelf heeft hersteld.

Virtuele machines voegen nog een aanbieder toe. Tijdintegratie van de hypervisor is in veel ontwerpen een legitieme bron, maar de rol ervan moet bewust worden gekozen en met het domeinbeleid worden afgestemd. Twee aanbieders die het oneens zijn leveren een klok die stabiel lijkt en verkeerd is.

Houd lidbeleid gescheiden van de autoriteit

Gewone lidconfiguratie en de configuratie van de gezaghebbende server zijn verschillende problemen met verschillende wijzigingsbeheersing. Ze vermengen is de manier waarop een routinematige laptopbeleidswijziging uiteindelijk de referentie voor het hele forest verandert.

Schrijf de beslissing als vier regels: de gezaghebbende bron, de hiërarchie die hem draagt, het gedrag tijdens roaming en de opdracht die de toestand op een apparaat bewijst. Als de eerste drie gedocumenteerd zijn en de vierde herhaalbaar is, wordt een tijdsgerelateerde aanmeldingsfout een controle van vijf minuten in plaats van een zoektocht door VPN-logs.