Kvifor ein VPN ikkje rettar klokka på ein domenetilknytt berbar PC

Ein fjernarbeidar koplar til VPN, tunnelen kjem opp, og innloggingar byrjar å feile med ein autentiseringsfeil som nemner tid. Ingenting ved tunnelen er øydelagt. Ein VPN ber pakkar mellom nettverk; han gjev ikkje to maskinar ei felles klokke, og domenautentisering, sertifikatvalidering og revisjonskorrelasjon avheng alle av klokker som stemmer nært nok. Derfrå følgjer tre avgjerder: kven som eig tida i domenet, kva eininga faktisk brukar, og kva som skjer medan eininga roam.

Ein rute er ikkje ei klokke

Kerberos-autentisering inneheld tidskjenslevare data og avviser førespurnader utanfor ein konfigurert toleranse, som er fem minutt som standard i Windows-domen. Sertifikat har gyldigheitsintervall, så ei eining der klokka går tilstrekkeleg føre behandlar eit gyldig sertifikat som enno ikkje gyldig. Revisjonspostar frå fleire maskinar korrelerer berre om klokkene deira er nær kvarandre, og det tel første gong ei hendinggjennomgang spør kva som skjedde først.

Dei tre avhengnadene er uavhengige av tunnelen. Å reise ein VPN endrar tilgjenge, og tilgjenge er det som lèt ei eining finne ei tidskjelde; han er ikkje kjelda.

Hald den viste tidssona skild frå klokka sjølv. To berbare PC-ar som viser ulike lokale tider kan vere perfekt synkroniserte, og to som viser same time kan avvike med minutt om tidssoneinnstillingane deira er ulike. Å endre tidssona er ikkje ein reparasjon av ei feil klokke, og å flytte ein dato tilbake for å få eit utløpt sertifikat til å verke øydelegg alle andre tidsavhengige kontrollar på maskina.

Avgjer kven som eig tida i domenet

Domenetilknytte Windows-medlemmer følgjer vanlegvis tidshierarkiet til Active Directory i staden for å spørje ein offentleg tenar kvar gong. Kjeda endar ved PDC-emulatoren til skogrota, der referansen er den autoritative kjelda til organisasjonen.

To vilkår avgjer referansen: om policy tillèt ein ekstern tidsteneste, og om nettverket påliteleg kan nå ei godkjend intern kjelde frå kvar stad. Om begge er uklåre, er det praktiske svaret å halde hierarkiet intakt og rette tilgangen i staden for å peike klientar mot ein offentleg pool. Eit tredje vilkår avgjer feilvegen: kva eininga skal gjere når ingen av kjeldene kan nåast. Å avklare det på førehand unngår den improviserte løysinga å feste ein offentleg tenar til éin berbar PC.

Det valet høyrer til domen- og tidsadministratorane, ikkje til designet for fjernåtkomst. Ein berbar PC som konfigurerer seg sjølv som tidsautoritet, er ein annan arkitektur, og det er sjeldan den sikkerheitsgjennomgangen godkjende.

Les kva eininga faktisk brukar

To skriveverna kommandoar dokumenterer gjeldande tilstand på ei administrert Windows-eining, og dei er verd å registrere før og etter ei endring:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Noter den valde kjelda, den siste vellukka synkroniseringa og stratum eller referanseidentifikator ved sida av administrasjonspolicyen til eininga. Éi vellukka manuell synkronisering provar at kommandoen verkar, ikkje at policyen overlever ein omstart eller ei rolleendring.

Om kjelda viser den lokale CMOS-klokka, synkroniserer eininga ikkje i det heile, noko som vanlegvis tyder at domenekontrolløren ikkje var tilgjengeleg ved oppstart, eller at tidstenesta vart deaktivert av policy. Om ho viser ein offentleg tenar, vinn noko utanfor domenhierarkiet, og det er eit policy-spørsmål, ikkje eit nettverksspørsmål.

Avgjer kva som skjer under roaming

Medan eininga er fråkopla, er ho avhengig av si lokale klokke og av dei tidsleverandørane ho kan nå. Berbare PC-ar driv, og ei eining som har vore offline i veker kan vere langt nok ute til å feile den første Kerberos-førespurnaden etter gjenoppkopling.

Ved gjenoppkopling treng eininga domenoppdaging og den tiltenkte vegen til tidstenesta, ikkje berre ein rute til ei filutdeling. Test det ved å starte på nytt utanfor nettverket, kople til VPN og lese kjelda igjen i staden for å tru at hierarkiet gjenoppretta seg sjølv.

Virtuelle maskinar legg til ein leverandør til. Hypervisor-tidsintegrasjon er ei legitim kjelde i mange design, men rolla bør veljast medvite og koordinerast med domenepolicyen. To leverandørar som er usamde gjev ei klokke som ser stabil ut og er feil.

Hald medlemspolicy skild frå autoriteten

Vanleg medlemskonfigurasjon og konfigurasjonen av den autoritative tenaren er ulike problem med ulik endringskontroll. Å blande dei er måten ei rutinemessig endring av berbar-PC-policy endar med å endre referansen for heile skogen.

Skriv avgjerda som fire linjer: den autoritative kjelda, hierarkiet som ber henne, åtferda ved roaming og kommandoen som provar tilstanden på ei eining. Om dei tre første er dokumenterte og den fjerde kan gjentakast, blir ein tidsrelatert innloggingsfeil ein femminutts sjekk i staden for ein jakt gjennom VPN-loggar.