Dlaczego VPN nie naprawia zegara laptopa przyłączonego do domeny

Pracownik zdalny łączy się z VPN, tunel wstaje, a logowania zaczynają się nie udawać z błędem uwierzytelniania, który wspomina o czasie. Z tunelem nic nie jest zepsute. VPN przenosi pakiety między sieciami; nie daje dwóm maszynom wspólnego zegara, a uwierzytelnianie domeny, weryfikacja certyfikatów i korelacja audytu zależą od zegarów, które zgadzają się wystarczająco blisko. Stąd wynikają trzy decyzje: kto odpowiada za czas w domenie, czego naprawdę używa urządzenie i co się dzieje, gdy urządzenie jest w roamingu.

Ścieżka to nie zegar

Uwierzytelnianie Kerberos zawiera dane wrażliwe na czas i odrzuca żądania poza skonfigurowaną tolerancją, która w domenach Windows domyślnie wynosi pięć minut. Certyfikaty mają okresy ważności, więc urządzenie, którego zegar jest wystarczająco z przodu, traktuje ważny certyfikat jako jeszcze nieważny. Zapisy audytu z kilku maszyn korelują się tylko wtedy, gdy ich zegary są blisko, a to ma znaczenie za pierwszym razem, gdy przegląd incydentu pyta, co zdarzyło się wcześniej.

Te trzy zależności są niezależne od tunelu. Podniesienie VPN zmienia osiągalność, a osiągalność jest tym, co pozwala urządzeniu znaleźć źródło czasu; nie jest źródłem.

Trzymaj wyświetlaną strefę czasową oddzielnie od samego zegara. Dwa laptopy pokazujące różne godziny lokalne mogą być doskonale zsynchronizowane, a dwa pokazujące tę samą godzinę mogą różnić się o minuty, jeśli ich ustawienia strefy czasowej są różne. Zmiana strefy czasowej nie jest naprawą złego zegara, a cofnięcie daty, aby wygasły certyfikat działał, psuje każdą inną kontrolę zależną od czasu na maszynie.

Zdecyduj, kto odpowiada za czas w domenie

Przyłączone do domeny komputery z Windows zwykle podążają za hierarchią czasu Active Directory, zamiast za każdym razem pytać publiczny serwer. Ten łańcuch kończy się na emulatorze PDC głównego lasu, którego referencją jest autorytatywne źródło organizacji.

O referencji decydują dwa warunki: czy zasady pozwalają na zewnętrzną usługę czasu i czy sieć potrafi niezawodnie dotrzeć do zatwierdzonego źródła wewnętrznego z każdej lokalizacji. Jeśli oba są niejasne, praktyczna odpowiedź to zachować hierarchię nietkniętą i naprawić osiągalność, a nie kierować klientów do publicznej puli. Trzeci warunek decyduje o ścieżce awarii: co urządzenie powinno robić, gdy żadne źródło nie jest osiągalne. Rozstrzygnięcie tego z góry pozwala uniknąć doraźnej łatki polegającej na przypięciu publicznego serwera do jednego laptopa.

Ten wybór należy do administratorów domeny i czasu, nie do projektu dostępu zdalnego. Laptop, który sam konfiguruje się jako zaufany autorytet czasu, to inna architektura i rzadko ta, którą zatwierdził przegląd bezpieczeństwa.

Przeczytaj, czego naprawdę używa urządzenie

Dwie tylko do odczytu komendy dokumentują bieżący stan na zarządzanym urządzeniu z Windows, i warto je zapisać przed zmianą oraz po niej:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Zanotuj wybrane źródło, ostatnią udaną synchronizację oraz stratum lub identyfikator referencji obok zasad zarządzania urządzeniem. Jedna udana synchronizacja ręczna dowodzi, że komenda działa, a nie że zasady przetrwają restart lub zmianę roli.

Jeśli źródło pokazuje lokalny zegar CMOS, urządzenie w ogóle się nie synchronizuje, co zwykle oznacza, że kontroler domeny był nieosiągalny przy starcie albo usługa czasu została wyłączona zasadami. Jeśli pokazuje publiczny serwer, wygrywa coś spoza hierarchii domeny, a to jest kwestia zasad, nie sieci.

Zdecyduj, co się dzieje w roamingu

Gdy urządzenie jest odłączone, polega na swoim lokalnym zegarze i na dostawcach czasu, do których potrafi dotrzeć. Laptopy dryfują, a urządzenie, które było offline tygodniami, może odchylić się na tyle, by pierwsze żądanie Kerberos po ponownym połączeniu nie powiodło się.

Przy ponownym połączeniu urządzenie potrzebuje odnalezienia domeny i zamierzonej ścieżki do usługi czasu, a nie tylko trasy do udziału plików. Sprawdź to, uruchamiając ponownie poza siecią, łącząc VPN i odczytując źródło jeszcze raz, zamiast zakładać, że hierarchia sama się odtworzyła.

Maszyny wirtualne dodają kolejnego dostawcę. Integracja czasu hiperwizora jest w wielu projektach legalnym źródłem, ale jej rolę należy wybrać świadomie i uzgodnić z zasadami domeny. Dwaj dostawcy, którzy się nie zgadzają, dają zegar, który wygląda stabilnie i jest błędny.

Trzymaj zasady członków oddzielnie od autorytetu

Zwykła konfiguracja członka i konfiguracja serwera autorytatywnego to różne problemy z różną kontrolą zmian. Mieszanie ich to sposób, w jaki rutynowa zmiana zasad laptopa ostatecznie zmienia referencję dla całego lasu.

Zapisz decyzję w czterech liniach: autorytatywne źródło, hierarchia, która je przenosi, zachowanie w roamingu oraz komenda, która dowodzi stanu na urządzeniu. Jeśli pierwsze trzy są udokumentowane, a czwarta powtarzalna, błąd logowania związany z czasem staje się kontrolą pięciominutową zamiast polowania w logach VPN.