Зашто VPN не поправља сат на лаптопу придруженом домену

Удаљени радник повеже VPN, тунел се подигне и пријаве почну да падају са грешком аутентификације која помиње време. На тунелу ништа није покварено. VPN преноси пакете између мрежа; не даје двама рачунарима заједнички сат, а аутентификација домена, провера сертификата и корелација ревизије зависе од сатова који се довољно близу слажу. Одатле следе три одлуке: коме припада време у домену, шта уређај заиста користи и шта се дешава док уређај роамира.

Пут није сат

Kerberos аутентификација садржи податке осетљиве на време и одбија захтеве изван конфигурисане толеранције, која је у Windows доменима подразумевано пет минута. Сертификати имају интервале важности, па уређај чији сат довољно иде напред третира важећи сертификат као још неважећи. Записи ревизије са више машина корелирају само ако су њихови сатови близу, и то је важно први пут када преглед инцидента пита шта се догодило прво.

Те три зависности су независне од тунела. Подизање VPN-а мења доступност, а доступност је оно што омогућава уређају да нађе извор времена; она није извор.

Држите приказану временску зону одвојено од самог сата. Два лаптопа који приказују различито локално време могу бити савршено синхронизована, а два која приказују исти сат могу се разликовати за минуте ако им се подешавања временске зоне разликују. Промена временске зоне није поправка погрешног сата, а померање датума уназад да би истекао сертификат прорадио квари сваку другу проверу на машини која зависи од времена.

Одлучите коме припада време у домену

Чланови Windows-а придружени домену обично прате временску хијерархију Active Directory-а уместо да сваки пут питају јавни сервер. Тај ланац се завршава на PDC емулатору корена шуме, чија је референца ауторитативни извор организације.

Референцу одређују два услова: да ли политика дозвољава спољну временску службу и да ли мрежа поуздано стиже до одобреног унутрашњег извора са сваке локације. Ако су оба нејасна, практичан одговор је сачувати хијерархију нетакнутом и поправити доступност, уместо усмеравати клијенте на јавни пул. Трећи услов одређује пут отказа: шта уређај треба да ради када ниједан извор није доступан. Решавање тога унапред избегава импровизовану поправку причвршћивања јавног сервера на један лаптоп.

Тај избор припада администраторима домена и времена, а не дизајну удаљеног приступа. Лаптоп који сам себе конфигурише као поуздан временски ауторитет је друга архитектура и ретко је она коју је одобрила безбедносна провера.

Прочитајте шта уређај заиста користи

Две команде само за читање документују тренутно стање на управљаном Windows уређају, и вреди их забележити пре и после промене:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Забележите изабрани извор, последњу успешну синхронизацију и стратум или идентификатор референце поред политике управљања уређајем. Једна успешна ручна синхронизација доказује да команда ради, а не да политика преживљава рестарт или промену улоге.

Ако извор приказује локални CMOS сат, уређај се уопште не синхронизује, што обично значи да контролер домена није био доступан при подизању или је временска служба онемогућена политиком. Ако приказује јавни сервер, побеђује нешто изван хијерархије домена, и то је питање политике, а не мреже.

Одлучите шта се дешава при роумингу

Док је уређај искључен, ослања се на свој локални сат и на све добављаче времена до којих може да стигне. Лаптопови дрифтују, а уређај који је недељама био офлајн може да одступи довољно да први Kerberos захтев после поновног повезивања падне.

При поновном повезивању уређају треба откривање домена и предвиђена путања до временске службе, не само рута до дељеног ресурса. Тестирајте то поновним подизањем изван мреже, повезивањем на VPN и поновним читањем извора, уместо да претпоставите да се хијерархија сама успоставила.

Виртуалне машине додају још једног добављача. Временска интеграција хипервизора је легитиман извор у многим дизајнима, али њену улогу треба изабрати свесно и ускладити са политиком домена. Два добављача која се не слажу дају сат који изгледа стабилно и погрешан је.

Држите политику чланова одвојено од ауторитета

Уобичајена конфигурација члана и конфигурација ауторитативног сервера су различити проблеми са различитом контролом измена. Њихово мешање је начин на који рутинска промена политике лаптопа на крају промени референцу за целу шуму.

Запишите одлуку у четири реда: ауторитативни извор, хијерархија која га носи, понашање при роумингу и команда која доказује стање на уређају. Ако су прва три документована, а четврта поновљива, отказ пријаве повезан са временом постаје петоминутна провера уместо лова кроз VPN дневнике.