Почему VPN не исправляет часы ноутбука, включённого в домен

Удалённый сотрудник подключает VPN, туннель поднимается, и входы начинают срываться с ошибкой аутентификации, в которой упоминается время. С туннелем всё в порядке. VPN переносит пакеты между сетями; он не даёт двум машинам общих часов, а доменная аутентификация, проверка сертификатов и корреляция аудита зависят от часов, которые совпадают достаточно близко. Отсюда следуют три решения: кому принадлежит время в домене, что на самом деле использует устройство и что происходит, пока устройство в роуминге.

Путь — это не часы

Аутентификация Kerberos содержит данные, чувствительные ко времени, и отклоняет запросы за пределами настроенного допуска, который в доменах Windows по умолчанию составляет пять минут. Сертификаты имеют интервалы действия, поэтому устройство, чьи часы достаточно спешат, считает действительный сертификат ещё недействительным. Записи аудита с нескольких машин сопоставляются только при близких часах, и это важно в первый раз, когда разбор инцидента спрашивает, что случилось раньше.

Эти три зависимости не связаны с туннелем. Поднятие VPN меняет доступность, а доступность — это то, что позволяет устройству найти источник времени; она не является источником.

Держите отображаемый часовой пояс отдельно от самих часов. Два ноутбука, показывающие разное местное время, могут быть полностью синхронизированы, а два, показывающие один и тот же час, могут расходиться на минуты, если их настройки часового пояса различаются. Смена часового пояса не является ремонтом неверных часов, а откат даты назад, чтобы заработал просроченный сертификат, ломает все остальные проверки на машине, зависящие от времени.

Решите, кому принадлежит время в домене

Члены Windows, включённые в домен, обычно следуют иерархии времени Active Directory, а не опрашивают публичный сервер каждый раз. Эта цепочка заканчивается на эмуляторе PDC корня леса, чья ссылка является авторитетным источником организации.

Ссылку определяют два условия: разрешает ли политика внешнюю службу времени и может ли сеть надёжно достичь утверждённого внутреннего источника из каждого сайта. Если оба неясны, практический ответ — сохранить иерархию нетронутой и починить доступность, а не направлять клиентов на публичный пул. Третье условие определяет путь отказа: что должно делать устройство, когда ни один источник недоступен. Заблаговременное решение избавляет от импровизированной правки с прибиванием публичного сервера на одном ноутбуке.

Этот выбор принадлежит администраторам домена и времени, а не проектированию удалённого доступа. Ноутбук, который настраивает себя как надёжный авторитет времени, — это другая архитектура, и редко та, которую одобрил аудит безопасности.

Прочитайте, что на самом деле использует устройство

Две команды только для чтения документируют текущее состояние на управляемом устройстве Windows, и их стоит зафиксировать до и после изменения:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Запишите выбранный источник, последнюю успешную синхронизацию и стратум или идентификатор ссылки рядом с политикой управления устройством. Одна успешная ручная синхронизация доказывает, что команда работает, а не что политика переживёт перезагрузку или смену роли.

Если источник показывает локальные часы CMOS, устройство вообще не синхронизируется, что обычно означает, что контроллер домена был недоступен при загрузке или служба времени была отключена политикой. Если он показывает публичный сервер, побеждает что-то вне иерархии домена, и это вопрос политики, а не сети.

Решите, что происходит в роуминге

Пока устройство отключено, оно полагается на свои локальные часы и на любых поставщиков времени, до которых может дотянуться. Ноутбуки дрейфуют, и устройство, пробывшее офлайн неделями, может уйти настолько, что первый запрос Kerberos после переподключения не пройдёт.

При переподключении устройству нужны обнаружение домена и предусмотренный путь к службе времени, а не только маршрут к файловому ресурсу. Проверьте это, перезагрузившись вне сети, подключив VPN и снова прочитав источник, вместо того чтобы предполагать, что иерархия восстановилась сама.

Виртуальные машины добавляют ещё одного поставщика. Интеграция времени гипервизора — законный источник во многих проектах, но её роль нужно выбирать осознанно и согласовывать с политикой домена. Два несогласных поставщика дают часы, которые выглядят стабильными и при этом неверны.

Держите политику членов отдельно от авторитета

Обычная конфигурация члена и конфигурация авторитетного сервера — это разные задачи с разным контролем изменений. Их смешение — это путь, которым рутинное изменение политики ноутбука в итоге меняет ссылку для всего леса.

Запишите решение четырьмя строками: авторитетный источник, иерархия, которая его несёт, поведение в роуминге и команда, доказывающая состояние на устройстве. Если первые три задокументированы, а четвёртая воспроизводима, сбой входа, связанный со временем, превращается в пятиминутную проверку вместо поиска по журналам VPN.