ทำไม VPN ไม่ได้แก้ไขนาฬิกาของแล็ปท็อปที่เชื่อมต่อโดเมน

พนักงานที่ทำงานระยะไกลเชื่อมต่อ VPN อุโมงค์ขึ้น และการเข้าสู่ระบบเริ่มล้มเหลวด้วยข้อผิดพลาดการยืนยันตัวตนที่กล่าวถึงเวลา ไม่มีอะไรเสียหายในอุโมงค์ VPN ส่งแพ็กเก็ตระหว่างเครือข่าย แต่ไม่ได้ให้นาฬิการ่วมกันแก่สองเครื่อง และการยืนยันตัวตนของโดเมน การตรวจสอบใบรับรอง และการเชื่อมโยงบันทึกการตรวจสอบล้วนขึ้นอยู่กับนาฬิกาที่ตรงกันใกล้พอ จากตรงนั้นมีสามการตัดสินใจ ได้แก่ ใครเป็นเจ้าของเวลาในโดเมน อุปกรณ์ใช้จริงอะไร และเกิดอะไรขึ้นขณะอุปกรณ์พเนจร

เส้นทางไม่ใช่นาฬิกา

การยืนยันตัวตนแบบ Kerberos มีข้อมูลที่อ่อนไหวต่อเวลาและปฏิเสธคำขอที่อยู่นอกช่วงผ่อนปรนที่กำหนด ซึ่งในโดเมน Windows มีค่าเริ่มต้นที่ห้านาที ใบรับรองมีช่วงอายุการใช้งาน อุปกรณ์ที่มีนาฬิกาเดินหน้าไกลพอจึงถือว่าใบรับรองที่ยังใช้ได้นั้นยังใช้ไม่ได้ บันทึกการตรวจสอบจากหลายเครื่องจะเชื่อมโยงกันได้ก็ต่อเมื่อนาฬิกาใกล้กัน และสิ่งนี้สำคัญครั้งแรกที่การทบทวนเหตุการณ์ถามว่าอะไรเกิดก่อน

การพึ่งพาทั้งสามข้อนั้นไม่ขึ้นกับอุโมงค์ การเปิด VPN เปลี่ยนการเข้าถึง และการเข้าถึงคือสิ่งที่ทำให้อุปกรณ์หาแหล่งเวลาได้ ไม่ใช่ตัวแหล่งเวลาเอง

แยกเขตเวลาที่แสดงออกจากตัวนาฬิกา แล็ปท็อปสองเครื่องที่แสดงเวลาท้องถิ่นต่างกันอาจซิงค์กันอย่างสมบูรณ์ และสองเครื่องที่แสดงชั่วโมงเดียวกันอาจต่างกันหลายนาทีถ้าการตั้งเขตเวลาต่างกัน การเปลี่ยนเขตเวลาไม่ใช่การซ่อมแซมนาฬิกาที่ผิด และการเลื่อนวันที่ย้อนหลังเพื่อให้ใบรับรองที่หมดอายุใช้งานได้จะทำให้การตรวจสอบอื่นทั้งหมดบนเครื่องที่ขึ้นกับเวลาพัง

ตัดสินใจว่าใครเป็นเจ้าของเวลาในโดเมน

สมาชิก Windows ที่เชื่อมต่อโดเมนมักทำตามลำดับชั้นเวลาของ Active Directory แทนที่จะถามเซิร์ฟเวอร์สาธารณะทุกครั้ง ห่วงโซ่นั้นสิ้นสุดที่ตัวจำลอง PDC ของรากฟอเรสต์ ซึ่งการอ้างอิงของมันคือแหล่งข้อมูลที่มีอำนาจขององค์กร

เงื่อนไขสองข้อกำหนดการอ้างอิง คือ นโยบายอนุญาตให้ใช้บริการเวลาภายนอกหรือไม่ และเครือข่ายเข้าถึงแหล่งภายในที่อนุมัติได้อย่างเชื่อถือได้จากทุกไซต์หรือไม่ ถ้าทั้งสองข้อไม่ชัดเจน คำตอบในทางปฏิบัติคือรักษาลำดับชั้นไว้และแก้การเข้าถึง แทนที่จะชี้ไคลเอนต์ไปยังพูลสาธารณะ เงื่อนไขที่สามกำหนดเส้นทางความล้มเหลว คืออุปกรณ์ควรทำอะไรเมื่อไม่สามารถเข้าถึงแหล่งใดได้เลย การตัดสินใจล่วงหน้าจะหลีกเลี่ยงการแก้ปัญหาเฉพาะหน้าด้วยการปักหมุดเซิร์ฟเวอร์สาธารณะบนแล็ปท็อปเครื่องเดียว

ทางเลือกนั้นเป็นของทีมผู้ดูแลโดเมนและเวลา ไม่ใช่ของการออกแบบการเข้าถึงระยะไกล แล็ปท็อปที่ตั้งค่าตนเองเป็นผู้มีอำนาจเวลาเป็นสถาปัตยกรรมอีกแบบ และแทบไม่เคยเป็นแบบที่การทบทวนความปลอดภัยอนุมัติ

อ่านว่าอุปกรณ์ใช้จริงอะไร

คำสั่งอ่านอย่างเดียวสองคำสั่งบันทึกสถานะปัจจุบันบนอุปกรณ์ Windows ที่ถูกจัดการ และควรบันทึกไว้ก่อนและหลังการเปลี่ยนแปลง:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

บันทึกแหล่งที่เลือก การซิงค์สำเร็จครั้งล่าสุด และ stratum หรือตัวระบุการอ้างอิงไว้ข้างนโยบายการจัดการอุปกรณ์ การซิงค์ด้วยมือที่สำเร็จหนึ่งครั้งพิสูจน์ว่าคำสั่งทำงาน ไม่ได้พิสูจน์ว่านโยบายอยู่รอดหลังรีบูตหรือเปลี่ยนบทบาท

ถ้าแหล่งที่มาแสดงนาฬิกา CMOS ภายในเครื่อง อุปกรณ์ไม่ได้ซิงค์เลย ซึ่งมักหมายความว่าตัวควบคุมโดเมนเข้าถึงไม่ได้ตอนบูต หรือบริการเวลาถูกปิดโดยนโยบาย ถ้าแสดงเซิร์ฟเวอร์สาธารณะ แสดงว่ามีบางสิ่งนอกลำดับชั้นของโดเมนกำลังชนะ และนั่นเป็นคำถามเชิงนโยบาย ไม่ใช่เครือข่าย

ตัดสินใจว่าเกิดอะไรขึ้นขณะพเนจร

ขณะตัดการเชื่อมต่อ อุปกรณ์พึ่งพานาฬิกาในเครื่องและผู้ให้บริการเวลาที่เข้าถึงได้ แล็ปท็อปมีความคลาดเคลื่อน และอุปกรณ์ที่ออฟไลน์หลายสัปดาห์อาจคลาดเคลื่อนมากพอที่จะทำให้คำขอ Kerberos แรกหลังเชื่อมต่อใหม่ล้มเหลว

เมื่อเชื่อมต่อใหม่ อุปกรณ์ต้องการการค้นพบโดเมนและเส้นทางบริการเวลาที่ตั้งใจไว้ ไม่ใช่แค่เส้นทางไปยังแชร์ไฟล์ ทดสอบโดยรีบูตนอกเครือข่าย เชื่อมต่อ VPN แล้วอ่านแหล่งที่มาอีกครั้ง แทนที่จะถือว่าลำดับชั้นฟื้นตัวเองแล้ว

เครื่องเสมือนเพิ่มผู้ให้บริการอีกราย การผสานเวลาไฮเปอร์ไวเซอร์เป็นแหล่งที่ชอบด้วยกฎหมายในการออกแบบหลายแบบ แต่บทบาทควรถูกเลือกอย่างตั้งใจและประสานกับนโยบายโดเมน ผู้ให้บริการสองรายที่ขัดแย้งกันจะให้ผลเป็นนาฬิกาที่ดูเสถียรแต่ผิด

แยกนโยบายสมาชิกออกจากอำนาจ

การกำหนดค่าสมาชิกทั่วไปกับการกำหนดค่าเซิร์ฟเวอร์ที่มีอำนาจเป็นปัญหาต่างกันด้วยการควบคุมการเปลี่ยนแปลงที่ต่างกัน การผสมทั้งสองเป็นวิธีที่การเปลี่ยนแปลงนโยบายแล็ปท็อปตามปกติไปเปลี่ยนการอ้างอิงของทั้งฟอเรสต์

เขียนบันทึกการตัดสินใจเป็นสี่บรรทัด ได้แก่ แหล่งข้อมูลที่มีอำนาจ ลำดับชั้นที่พามัน พฤติกรรมขณะพเนจร และคำสั่งที่พิสูจน์สถานะบนอุปกรณ์ ถ้าสามข้อแรกมีเอกสารและข้อที่สี่ทำซ้ำได้ ความล้มเหลวในการเข้าสู่ระบบที่เกี่ยวกับเวลาจะกลายเป็นการตรวจห้านาทีแทนการไล่ล่าในบันทึก VPN