Prečo VPN neopraví hodiny notebooku pripojeného k doméne

Vzdialený pracovník pripojí VPN, tunel sa zdvihne a prihlásenia začnú zlyhávať s chybou overovania, ktorá spomína čas. Na tuneli nie je nič pokazené. VPN prenáša pakety medzi sieťami; nedáva dvom strojom spoločné hodiny a overovanie domény, validácia certifikátov aj korelácia auditu závisia od hodín, ktoré sa zhodujú dostatočne blízko. Z toho plynú tri rozhodnutia: komu patrí čas v doméne, čo zariadenie skutočne používa a čo sa deje, keď zariadenie roamuje.

Cesta nie sú hodiny

Overovanie Kerberos obsahuje údaje citlivé na čas a odmieta požiadavky mimo nakonfigurovanej tolerancie, ktorá je v doménach Windows štandardne päť minút. Certifikáty majú intervaly platnosti, takže zariadenie, ktorého hodiny dostatočne predbiehajú, považuje platný certifikát za zatiaľ neplatný. Auditné záznamy z viacerých strojov sa korelujú len vtedy, keď sú ich hodiny blízko, a to je dôležité prvýkrát, keď sa vyšetrovanie incidentu pýta, čo sa stalo skôr.

Tieto tri závislosti sú nezávislé od tunela. Zdvíhanie VPN mení dostupnosť a dostupnosť je to, čo zariadeniu umožní nájsť zdroj času; sama zdrojom nie je.

Držte zobrazené časové pásmo oddelené od samotných hodín. Dva notebooky zobrazujúce rôzne miestne časy môžu byť dokonale synchronizované a dva zobrazujúce rovnakú hodinu sa môžu rozísť o minúty, ak sa ich nastavenia časového pásma líšia. Zmena časového pásma nie je oprava nesprávnych hodín a posunutie dátumu späť, aby fungoval prepadnutý certifikát, rozbije každú ďalšiu na čase závislú kontrolu na stroji.

Rozhodnite, komu patrí čas v doméne

Členovia Windows pripojení k doméne zvyčajne nasledujú časovú hierarchiu Active Directory, namiesto toho, aby sa zakaždým pýtali verejného servera. Tento reťazec končí pri emulátore PDC koreňa doménového lesa, ktorého referencia je autoritatívnym zdrojom organizácie.

Referenciu určujú dve podmienky: či zásada povoľuje externú časovú službu a či sieť dokáže spoľahlivo dosiahnuť schválený interný zdroj z každého webu. Ak sú obe nejasné, praktickou odpoveďou je ponechať hierarchiu nedotknutú a opraviť dostupnosť, namiesto nasmerovania klientov na verejný pool. Tretia podmienka určuje cestu zlyhania: čo má zariadenie robiť, keď nie je dostupný ani jeden zdroj. Vyriešiť to vopred zabráni improvizovanej oprave, pri ktorej sa verejný server pripichne na jeden notebook.

Táto voľba patrí správcom domény a času, nie návrhu vzdialeného prístupu. Notebook, ktorý sa sám konfiguruje ako spoľahlivá časová autorita, je iná architektúra a málokedy je tou, ktorú schválila bezpečnostná revízia.

Prečítajte si, čo zariadenie skutočne používa

Dva príkazy iba na čítanie dokumentujú aktuálny stav na spravovanom zariadení s Windows a vyplatí sa ich zaznamenať pred zmenou a po nej:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Zaznamenajte zvolený zdroj, poslednú úspešnú synchronizáciu a stratum alebo identifikátor referencie vedľa zásady správy zariadenia. Jedna úspešná ručná synchronizácia dokazuje, že príkaz funguje, nie že zásada prežije reštart alebo zmenu roly.

Ak zdroj ukazuje miestne hodiny CMOS, zariadenie sa vôbec nesynchronizuje, čo zvyčajne znamená, že kontrolér domény nebol pri štarte dostupný alebo bola časová služba zakázaná zásadou. Ak ukazuje verejný server, vyhráva niečo mimo hierarchie domény, a to je otázka zásad, nie siete.

Rozhodnite, čo sa deje počas roamingu

Keď je zariadenie odpojené, spolieha sa na svoje miestne hodiny a na akýchkoľvek poskytovateľov času, ku ktorým sa dostane. Notebooky driftujú a zariadenie, ktoré bolo týždne offline, sa môže odchýliť natoľko, že prvá požiadavka Kerberos po opätovnom pripojení zlyhá.

Pri opätovnom pripojení zariadenie potrebuje zistenie domény a zamýšľanú cestu k časovej službe, nielen trasu k zdieľanej zložke. Otestujte to reštartom mimo siete, pripojením VPN a opätovným prečítaním zdroja, namiesto predpokladu, že sa hierarchia sama obnovila.

Virtuálne stroje pridávajú ďalšieho poskytovateľa. Časová integrácia hypervizora je v mnohých návrhoch legitímny zdroj, ale jej rola má byť zvolená zámerne a zladená so zásadou domény. Dvaja poskytovatelia, ktorí sa nezhodujú, dávajú hodiny, ktoré vyzerajú stabilne a sú nesprávne.

Držte zásady členov oddelené od autority

Bežná konfigurácia člena a konfigurácia autoritatívneho servera sú rôzne problémy s rôznou kontrolou zmien. Ich miešanie je spôsob, akým rutinná zmena zásady notebooku napokon zmení referenciu pre celý les.

Zapíšte rozhodnutie do štyroch riadkov: autoritatívny zdroj, hierarchia, ktorá ho nesie, správanie pri roamingu a príkaz, ktorý preukáže stav na zariadení. Ak sú prvé tri zdokumentované a štvrtý opakovateľný, zlyhanie prihlásenia súvisiace s časom sa zmení na päťminútovú kontrolu namiesto honu v logoch VPN.