Zakaj VPN ne popravi ure na prenosnem računalniku, pridruženem domeni

Oddaljeni sodelavec vzpostavi VPN, tunel se dvigne in prijave začnejo spodleteti z napako preverjanja pristnosti, ki omenja čas. Na tunelu ni nič pokvarjeno. VPN prenaša pakete med omrežji; dvema strojema ne daje skupne ure, preverjanje pristnosti domene, preverjanje veljavnosti potrdil in korelacija revizije pa so odvisni od ur, ki se dovolj natančno ujemajo. Iz tega izhajajo tri odločitve: kdo ima v lasti čas v domeni, kaj naprava dejansko uporablja in kaj se zgodi, medtem ko naprava gostuje.

Pot ni ura

Preverjanje pristnosti Kerberos vsebuje podatke, občutljive na čas, in zavrača zahteve zunaj nastavljene tolerance, ki je v domenah Windows privzeto pet minut. Potrdila imajo obdobja veljavnosti, zato naprava, katere ura je dovolj naprej, veljavno potrdilo obravnava kot še neveljavno. Revizijski zapisi z več strojev se povežejo le, če so njihove ure blizu, in to je pomembno prvič, ko pregled incidenta vpraša, kaj se je zgodilo prej.

Te tri odvisnosti so neodvisne od tunela. Dviganje VPN spremeni dosegljivost, dosegljivost pa je tisto, kar napravi omogoči, da najde vir časa; ni vir.

Prikazani časovni pas ločite od same ure. Dva prenosnika, ki prikazujeta različen lokalni čas, sta lahko popolnoma sinhronizirana, dva, ki prikazujeta isto uro, pa se lahko razlikujeta za minute, če se njune nastavitve časovnega pasu razlikujejo. Spreminjanje časovnega pasu ni popravilo napačne ure, premik datuma nazaj, da bi poteklo potrdilo delovalo, pa pokvari vse druge s časom povezane kontrole na stroju.

Odločite, kdo ima v lasti čas v domeni

Člani sistema Windows, pridruženi domeni, običajno sledijo časovni hierarhiji Active Directory, namesto da bi vsakič vprašali javni strežnik. Ta veriga se konča pri emulatorju PDC korena gozda, katerega referenca je verodostojni vir organizacije.

Referenco določata dva pogoja: ali pravilnik dovoljuje zunanjo časovno storitev in ali omrežje zanesljivo doseže odobreni notranji vir z vsake lokacije. Če sta oba nejasna, je praktični odgovor ohraniti hierarhijo nedotaknjeno in popraviti dosegljivost, namesto da bi odjemalce usmerili v javni nabor. Tretji pogoj določi pot napake: kaj naj naprava naredi, ko ni dosegljiv noben vir. Če to določite vnaprej, se izognete improviziranemu popravku z zataknitvijo javnega strežnika na en prenosnik.

Ta izbira pripada skrbnikom domene in časa, ne zasnovi oddaljenega dostopa. Prenosnik, ki se sam nastavi kot zanesljiva časovna avtoriteta, je druga arhitektura in le redko tista, ki jo je odobril varnostni pregled.

Preberite, kaj naprava dejansko uporablja

Dva ukaza samo za branje dokumentirata trenutno stanje na upravljani napravi Windows, zato ju je vredno zabeležiti pred spremembo in po njej:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Zabeležite izbrani vir, zadnjo uspešno sinhronizacijo ter stratum ali identifikator reference ob pravilniku upravljanja naprave. Ena uspešna ročna sinhronizacija dokazuje, da ukaz deluje, ne pa, da pravilnik preživi ponovni zagon ali spremembo vloge.

Če vir prikazuje lokalno uro CMOS, se naprava sploh ne sinhronizira, kar običajno pomeni, da krmilnik domene ob zagonu ni bil dosegljiv ali da je bila časovna storitev onemogočena s pravilnikom. Če prikazuje javni strežnik, zmaguje nekaj zunaj hierarhije domene, in to je vprašanje pravilnika, ne omrežja.

Odločite, kaj se zgodi med gostovanjem

Dokler je naprava odklopljena, se zanaša na svojo lokalno uro in na vse ponudnike časa, ki jih doseže. Prenosniki driftajo, naprava, ki je bila tedne brez povezave, pa lahko odstopi dovolj, da prva zahteva Kerberos po ponovni povezavi spodleti.

Ob ponovni povezavi naprava potrebuje odkrivanje domene in predvideno pot do časovne storitve, ne le poti do datotečnega deleža. To preizkusite s ponovnim zagonom zunaj omrežja, povezavo VPN in ponovnim branjem vira, namesto da bi domnevali, da se je hierarhija sama vzpostavila.

Navidezne naprave dodajo še enega ponudnika. Časovna integracija hipervizorja je v mnogih zasnovah zakonit vir, vendar je treba njeno vlogo izbrati zavestno in uskladiti s pravilnikom domene. Dva ponudnika, ki se ne strinjata, dajeta uro, ki je videti stabilna in je napačna.

Pravilnik članov ločite od avtoritete

Običajna konfiguracija člana in konfiguracija verodostojnega strežnika sta različna problema z različnim nadzorom sprememb. Njuno mešanje je način, kako rutinska sprememba pravilnika prenosnika na koncu spremeni referenco za cel gozd.

Odločitev zapišite v štirih vrsticah: verodostojni vir, hierarhija, ki ga nosi, vedenje med gostovanjem in ukaz, ki dokaže stanje na napravi. Če so prve tri dokumentirane in je četrti ponovljiv, napaka prijave, povezana s časom, postane petminutno preverjanje namesto lova po dnevnikih VPN.