Zašto VPN ne popravlja sat na laptopu priključenom na domenu

Udaljeni radnik spoji VPN, tunel se podigne i prijave počnu padati s greškom autentifikacije koja spominje vrijeme. Na tunelu ništa nije pokvareno. VPN prenosi pakete između mreža; on ne daje dvama računarima zajednički sat, a autentifikacija domene, provjera certifikata i korelacija revizije ovise o satovima koji se dovoljno dobro slažu. Iz toga slijede tri odluke: ko posjeduje vrijeme u domeni, što uređaj zapravo koristi i što se događa dok uređaj roamuje.

Put nije sat

Kerberos autentifikacija uključuje podatke osjetljive na vrijeme i odbija zahtjeve izvan konfigurirane tolerancije, koja je po defaultu pet minuta u Windows domenama. Certifikati nose intervale važenja, pa uređaj čiji sat dovoljno žuri tretira važeći certifikat kao još nevažeći. Revizijski zapisi s više računara koreliraju samo ako su im satovi blizu, a to je važno prvi put kad istraga incidenta pita što se dogodilo prije.

Te tri zavisnosti nezavisne su od tunela. Podizanje VPN-a mijenja dostupnost, a dostupnost je ono što uređaju omogućuje da nađe izvor vremena; ona nije izvor.

Držite prikazanu vremensku zonu odvojeno od samog sata. Dva laptopa koja pokazuju različite lokalne sate mogu biti savršeno sinhronizirana, a dva koja pokazuju isti sat mogu se razilaziti u minutama ako im se postavke vremenske zone razlikuju. Promjena vremenske zone nije popravka pogrešnog sata, a pomicanje datuma unazad da bi istekli certifikat proradio kvari svaku drugu provjeru na računaru koja zavisi od vremena.

Odlučite ko posjeduje vrijeme u domeni

Windows članovi pridruženi domeni obično slijede vremensku hijerarhiju Active Directoryja umjesto da svaki put pitaju javni server. Taj lanac završava na PDC emulatoru korijena šume, čija je referenca autoritativni izvor organizacije.

Dva uslova određuju referencu: da li politika dopušta vanjsku vremensku uslugu i da li mreža može pouzdano dosegnuti odobreni interni izvor sa svake lokacije. Ako je oboje nejasno, praktičan odgovor je zadržati hijerarhiju netaknutom i popraviti dostupnost, umjesto usmjeravati klijente na javni pool. Treći uslov određuje putanju kvara: što uređaj treba raditi kad nijedan izvor nije dostupan. Rješavanje toga unaprijed izbjegava improviziranu popravku prikivanja javnog servera na jedan laptop.

Taj izbor pripada administratorima domene i vremena, a ne dizajnu udaljenog pristupa. Laptop koji sebe konfigurira kao pouzdan vremenski autoritet drugačija je arhitektura i rijetko je ona koju je sigurnosna provjera odobrila.

Pročitajte što uređaj zapravo koristi

Dvije naredbe samo za čitanje dokumentiraju trenutno stanje na upravljanom Windows uređaju i vrijedi ih zabilježiti prije i poslije promjene:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Zabilježite odabrani izvor, posljednju uspješnu sinhronizaciju i stratum ili identifikator reference uz politiku upravljanja uređajem. Jedna uspješna ručna sinhronizacija dokazuje da naredba radi, a ne da politika preživljava restart ili promjenu uloge.

Ako izvor pokazuje lokalni CMOS sat, uređaj se uopće ne sinhronizira, što obično znači da kontroler domene nije bio dostupan pri podizanju ili je vremenska usluga onemogućena politikom. Ako pokazuje javni server, pobjeđuje nešto izvan hijerarhije domene, a to je pitanje politike, ne mreže.

Odlučite što se događa tijekom roaminga

Dok je odspojen, uređaj se oslanja na svoj lokalni sat i na sve pružatelje vremena do kojih može doći. Laptopi driftaju, a uređaj koji je tjednima bio offline može odstupiti dovoljno da prvi Kerberos zahtjev nakon ponovnog spajanja padne.

Pri ponovnom spajanju uređaju treba otkrivanje domene i predviđena putanja vremenske usluge, a ne samo ruta do mrežnog dijeljenja. Testirajte to ponovnim podizanjem izvan mreže, spajanjem na VPN i ponovnim čitanjem izvora, umjesto da pretpostavite da se hijerarhija sama uspostavila.

Virtualne mašine dodaju još jednog pružatelja. Integracija vremena hipervizora legitimni je izvor u mnogim dizajnima, ali njegovu ulogu treba odabrati namjerno i uskladiti s politikom domene. Dva pružatelja koji se ne slažu daju sat koji izgleda stabilan i pogrešan je.

Držite politiku članova odvojeno od autoriteta

Uobičajena konfiguracija člana i konfiguracija autoritativnog servera različiti su problemi s različitom kontrolom promjena. Njihovo miješanje je način na koji rutinska promjena politike laptopa na kraju promijeni referencu za cijelu šumu.

Zapišite odluku u četiri reda: autoritativni izvor, hijerarhija koja ga nosi, ponašanje pri roamingu i naredba koja dokazuje stanje na uređaju. Ako su prva tri dokumentirana, a četvrta ponovljiva, kvar prijave povezan s vremenom postaje petominutna provjera umjesto lova kroz VPN zapise.