Pse një VPN nuk e rregullon orën e një laptopi të bashkuar me domenin

Një punonjës në distancë lidh VPN-në, tuneli ngrihet dhe hyrjet fillojnë të dështojnë me një gabim autentikimi që përmend kohën. Asgjë në tunel nuk është prishur. Një VPN transporton paketa midis rrjeteve; nuk u jep dy makinave një orë të përbashkët, dhe autentikimi i domenit, validimi i certifikatave dhe korrelacioni i auditimit varen të gjitha nga orë që përputhen mjaftueshëm. Nga kjo rrjedhin tre vendime: kush e zotëron kohën në domen, çfarë përdor në të vërtetë pajisja dhe çfarë ndodh ndërsa pajisja është në roaming.

Një rrugë nuk është orë

Autentikimi Kerberos përfshin të dhëna të ndjeshme ndaj kohës dhe i refuzon kërkesat jashtë një tolerance të konfiguruar, e cila në domenet Windows është pesë minuta si parazgjedhje. Certifikatat kanë intervale vlefshmërie, kështu që një pajisje, ora e së cilës është mjaft përpara, e trajton një certifikatë të vlefshme si ende jo të vlefshme. Regjistrimet e auditimit nga disa makina korrelohen vetëm nëse orët e tyre janë afër, dhe kjo ka rëndësi herën e parë që një rishikim incidenti pyet çfarë ndodhi më parë.

Këto tre varësi janë të pavarura nga tuneli. Ngritja e një VPN ndryshon arritshmërinë, dhe arritshmëria është ajo që i lejon një pajisjeje të gjejë një burim kohe; nuk është burimi.

Mbajeni zonën kohore të shfaqur të ndarë nga ora vetë. Dy laptopë që shfaqin orë lokale të ndryshme mund të jenë plotësisht të sinkronizuar, dhe dy që shfaqin të njëjtën orë mund të ndryshojnë me minuta nëse cilësimet e zonës kohore ndryshojnë. Ndryshimi i zonës kohore nuk është riparim i një ore të gabuar, dhe kthimi i një date prapa që një certifikatë e skaduar të funksionojë prish çdo kontroll tjetër të makinës që varet nga koha.

Vendosni kush e zotëron kohën në domen

Anëtarët e Windows të bashkuar me domen zakonisht ndjekin hierarkinë e kohës të Active Directory në vend që të pyesin një server publik çdo herë. Ky zinxhir përfundon te emulatori PDC i rrënjës së pyllit, referenca e të cilit është burimi autoritativ i organizatës.

Dy kushte vendosin referencën: nëse politika lejon një shërbim kohe të jashtëm dhe nëse rrjeti mund të arrijë në mënyrë të besueshme një burim të brendshëm të miratuar nga çdo vendndodhje. Nëse të dyja janë të paqarta, përgjigjja praktike është të mbahet hierarkia e paprekur dhe të rregullohet arritshmëria në vend që klientët të drejtohen drejt një grupi publik. Një kusht i tretë vendos rrugën e dështimit: çfarë duhet të bëjë pajisja kur asnjëri burim nuk është i arritshëm. Zgjidhja e kësaj paraprakisht shmang rregullimin e improvizuar të ngulitjes së një serveri publik në një laptop.

Ai zgjedhje u takon administratorëve të domenit dhe të kohës, jo dizajnit të aksesit në distancë. Një laptop që konfiguron veten si autoritet i besueshëm kohe është një arkitekturë tjetër dhe rrallë është ajo që miratoi rishikimi i sigurisë.

Lexoni çfarë përdor në të vërtetë pajisja

Dy komanda vetëm-lexim dokumentojnë gjendjen aktuale në një pajisje Windows të menaxhuar, dhe ia vlen t'i regjistroni para dhe pas një ndryshimi:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Shënoni burimin e zgjedhur, sinkronizimin e fundit të suksesshëm dhe stratum-in ose identifikuesin e referencës pranë politikës së menaxhimit të pajisjes. Një sinkronizim manual i suksesshëm dëshmon se komanda funksionon, jo se politika i mbijeton një rindezjeje ose një ndryshimi roli.

Nëse burimi tregon orën lokale CMOS, pajisja nuk sinkronizohet fare, që zakonisht do të thotë se kontrolluesi i domenit nuk ishte i arritshëm gjatë nisjes ose shërbimi i kohës u çaktivizua nga politika. Nëse tregon një server publik, diçka jashtë hierarkisë së domenit po fiton, dhe kjo është çështje politike, jo rrjeti.

Vendosni çfarë ndodh gjatë roaming-ut

Ndërsa është i shkëputur, pajisja mbështetet në orën e saj lokale dhe në çdo ofrues kohe që mund të arrijë. Laptopët driftojnë, dhe një pajisje që ka qenë jashtë linje për javë mund të devijojë mjaftueshëm sa të dështojë kërkesa e parë Kerberos pas rilidhjes.

Gjatë rilidhjes, pajisjes i nevojitet zbulimi i domenit dhe rruga e synuar drejt shërbimit të kohës, jo vetëm një rrugë drejt një ndarjeje skedarësh. Testojeni duke rindezur jashtë rrjetit, duke lidhur VPN-në dhe duke lexuar përsëri burimin, në vend që të supozoni se hierarkia u rivendos vetë.

Makinat virtuale shtojnë një ofrues tjetër. Integrimi i kohës i hipervizorit është burim legitim në shumë dizajne, por roli i tij duhet zgjedhur me qëllim dhe koordinuar me politikën e domenit. Dy ofrues që nuk bien dakord prodhojnë një orë që duket e qëndrueshme dhe është e gabuar.

Mbajeni politikën e anëtarëve të ndarë nga autoriteti

Konfigurimi i zakonshëm i anëtarit dhe konfigurimi i serverit autoritativ janë probleme të ndryshme me kontroll ndryshimesh të ndryshëm. Përzierja e tyre është mënyra se si një ndryshim rutinë i politikës së laptopit përfundon duke ndryshuar referencën për të gjithë pyllin.

Shkruajeni vendimin në katër rreshta: burimi autoritativ, hierarkia që e mbart, sjellja gjatë roaming-ut dhe komanda që dëshmon gjendjen në një pajisje. Nëse tre të parat dokumentohen dhe e katërta përsëritet, një dështim hyrjeje i lidhur me kohën bëhet një kontroll pesëminutësh në vend të një gjuetie në regjistrat e VPN-së.