Hvorfor en VPN ikke retter klokken på en domenetilknyttet bærbar PC

En fjernarbeider kobler til VPN, tunnelen kommer opp, og innlogginger begynner å feile med en autentiseringsfeil som nevner tid. Ingenting ved tunnelen er ødelagt. En VPN bærer pakker mellom nettverk; den gir ikke to maskiner en felles klokke, og domenautentisering, sertifikatvalidering og revisjonskorrelasjon avhenger alle av klokker som stemmer nært nok overens. Derfra følger tre beslutninger: hvem som eier tiden i domenet, hva enheten faktisk bruker, og hva som skjer mens enheten roamer.

En rute er ikke en klokke

Kerberos-autentisering inneholder tidsfølsomme data og avviser forespørsler utenfor en konfigurert toleranse, som er fem minutter som standard i Windows-domener. Sertifikater har gyldighetsintervaller, så en enhet hvis klokke går tilstrekkelig foran behandler et gyldig sertifikat som ennå ikke gyldig. Revisjonsposter fra flere maskiner korrelerer bare hvis klokkene deres er nær hverandre, og det betyr noe første gang en hendelsesgjennomgang spør hva som skjedde først.

De tre avhengighetene er uavhengige av tunnelen. Å reise en VPN endrer tilgjengelighet, og tilgjengelighet er det som lar en enhet finne en tidskilde; den er ikke kilden.

Hold den viste tidssonen atskilt fra klokken selv. To bærbare PC-er som viser forskjellige lokale tider kan være perfekt synkronisert, og to som viser samme time kan avvike med minutter hvis tidssoneinnstillingene deres er forskjellige. Å endre tidssonen er ikke en reparasjon av en feil klokke, og å flytte en dato tilbake for å få et utløpt sertifikat til å virke ødelegger alle andre tidsavhengige kontroller på maskinen.

Bestem hvem som eier tiden i domenet

Domenetilknyttede Windows-medlemmer følger vanligvis Active Directorys tidshierarki i stedet for å spørre en offentlig server hver gang. Kjeden ender ved skogrotens PDC-emulator, hvis referanse er organisasjonens autoritative kilde.

To betingelser avgjør referansen: om policy tillater en ekstern tidstjeneste, og om nettverket pålitelig kan nå en godkjent intern kilde fra hvert sted. Hvis begge er uklare, er det praktiske svaret å holde hierarkiet intakt og rette tilgjengeligheten i stedet for å peke klienter mot en offentlig pool. En tredje betingelse avgjør feilveien: hva enheten skal gjøre når ingen av kildene kan nås. Å avklare det på forhånd unngår den improviserte løsningen å feste en offentlig server til én bærbar PC.

Det valget tilhører domene- og tidsadministratorene, ikke designet for fjernaksess. En bærbar PC som konfigurerer seg selv som tidsautoritet, er en annen arkitektur, og det er sjelden den sikkerhetsgjennomgangen godkjente.

Les hva enheten faktisk bruker

To skrivebeskyttede kommandoer dokumenterer gjeldende tilstand på en administrert Windows-enhet, og de er verdt å registrere før og etter en endring:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Noter den valgte kilden, den siste vellykkede synkroniseringen og stratum eller referanseidentifikator ved siden av enhetens administrasjonspolicy. Én vellykket manuell synkronisering beviser at kommandoen virker, ikke at policyen overlever en omstart eller en rolleendring.

Hvis kilden viser den lokale CMOS-klokken, synkroniserer enheten ikke i det hele tatt, noe som vanligvis betyr at domenekontrolleren ikke var tilgjengelig ved oppstart, eller at tidstjenesten ble deaktivert av policy. Hvis den viser en offentlig server, vinner noe utenfor domenhierarkiet, og det er et policy-spørsmål, ikke et nettverksspørsmål.

Bestem hva som skjer under roaming

Mens enheten er frakoblet, er den avhengig av sin lokale klokke og av de tidsleverandørene den kan nå. Bærbare PC-er driver, og en enhet som har vært offline i uker kan være langt nok ute til å feile den første Kerberos-forespørselen etter gjentilkobling.

Ved gjentilkobling trenger enheten domeneoppdagelse og den tiltenkte veien til tidstjenesten, ikke bare en rute til en filutdeling. Test det ved å starte på nytt utenfor nettverket, koble til VPN og lese kilden igjen i stedet for å anta at hierarkiet gjenopprettet seg selv.

Virtuelle maskiner legger til en leverandør til. Hypervisor-tidsintegrasjon er en legitim kilde i mange design, men rollen bør velges bevisst og koordineres med domenepolicyen. To leverandører som er uenige gir en klokke som ser stabil ut og er feil.

Hold medlemspolicy atskilt fra autoriteten

Vanlig medlemskonfigurasjon og konfigurasjonen av den autoritative serveren er forskjellige problemer med forskjellig endringskontroll. Å blande dem er måten en rutinemessig endring av bærbar-PC-policy ender med å endre referansen for hele skogen.

Skriv beslutningsposten som fire linjer: den autoritative kilden, hierarkiet som bærer den, oppførselen ved roaming og kommandoen som beviser tilstanden på en enhet. Hvis de tre første er dokumentert og den fjerde kan gjentas, blir en tidsrelatert innloggingsfeil en femminutters sjekk i stedet for en jakt gjennom VPN-logger.