VPN etki alanına katılmış bir dizüstü bilgisayarın saatini neden düzeltmez

Uzaktan çalışan bir kullanıcı VPN'e bağlanır, tünel açılır ve oturum açmalar zamanı anan bir kimlik doğrulama hatasıyla başarısız olmaya başlar. Tünelde bozuk bir şey yoktur. Bir VPN paketleri ağlar arasında taşır; iki makineye ortak bir saat vermez ve etki alanı kimlik doğrulaması, sertifika doğrulaması ile denetim bağıntısı hep yeterince yakın örtüşen saatlere bağlıdır. Bundan üç karar doğar: etki alanındaki saati kim sahipleniyor, aygıt gerçekte neyi kullanıyor ve aygıt dolaşırken ne oluyor.

Yol saat değildir

Kerberos kimlik doğrulaması zamana duyarlı veriler içerir ve yapılandırılmış toleransın dışındaki istekleri reddeder; bu tolerans Windows etki alanlarında varsayılan olarak beş dakikadır. Sertifikaların geçerlilik aralıkları vardır, bu yüzden saati yeterince ileri olan bir aygıt geçerli bir sertifikayı henüz geçerli değil sayar. Birden çok makineden gelen denetim kayıtları ancak saatleri birbirine yakınsa bağıntılanır ve bir olay incelemesi ilk kez neyin önce olduğunu sorduğunda bu önemlidir.

Bu üç bağımlılık tünelden bağımsızdır. VPN'i açmak erişilebilirliği değiştirir ve erişilebilirlik bir aygıtın saat kaynağı bulmasını sağlayan şeydir; kaynağın kendisi değildir.

Gösterilen saat dilimini saatin kendisinden ayrı tutun. Farklı yerel saatler gösteren iki dizüstü bilgisayar tam olarak eşitlenmiş olabilir ve aynı saati gösteren iki makine saat dilimi ayarları farklıysa dakikalarca ayrışabilir. Saat dilimini değiştirmek yanlış bir saatin onarımı değildir ve süresi dolmuş bir sertifikanın çalışması için tarihi geri almak makinedeki zamana bağlı diğer tüm denetimleri bozar.

Etki alanındaki saati kimin sahiplendiğine karar verin

Etki alanına katılmış Windows üyeleri genellikle her seferinde genel bir sunucuya sormak yerine Active Directory'nin saat hiyerarşisini izler. Bu zincir orman kökünün PDC öykünücüsünde biter ve onun başvurusu kuruluşun yetkili kaynağıdır.

Başvuruyu iki koşul belirler: ilkenin dış bir saat hizmetine izin verip vermediği ve ağın her konumdan onaylanmış bir iç kaynağa güvenilir biçimde ulaşıp ulaşamadığı. İkisi de belirsizse pratik yanıt hiyerarşiyi bozmadan erişilebilirliği düzeltmektir; istemcileri genel bir havuza yöneltmek değil. Üçüncü koşul hata yolunu belirler: kaynakların hiçbirine ulaşılamadığında aygıtın ne yapması gerektiği. Bunu önceden netleştirmek, tek bir dizüstü bilgisayara genel sunucu çakma biçimindeki doğaçlama düzeltmeyi önler.

Bu seçim etki alanı ve saat yöneticilerine aittir, uzaktan erişim tasarımına değil. Kendini güvenilir bir saat otoritesi olarak yapılandıran dizüstü bilgisayar başka bir mimaridir ve güvenlik incelemesinin onayladığı mimari nadiren odur.

Aygıtın gerçekte neyi kullandığını okuyun

Yönetilen bir Windows aygıtındaki güncel durumu iki salt okunur komut belgeler ve bunları değişiklikten önce ve sonra kaydetmek yararlıdır:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Seçilen kaynağı, son başarılı eşitlemeyi ve stratum veya başvuru tanımlayıcısını aygıtın yönetim ilkesinin yanına not edin. Bir başarılı elle eşitleme komutun çalıştığını kanıtlar; ilkenin yeniden başlatmaya veya rol değişikliğine dayandığını değil.

Kaynak yerel CMOS saatini gösteriyorsa aygıt hiç eşitlemiyor demektir; bu genellikle açılışta etki alanı denetleyicisine ulaşılamadığı veya saat hizmetinin ilkeyle devre dışı bırakıldığı anlamına gelir. Genel bir sunucu gösteriyorsa etki alanı hiyerarşisinin dışında bir şey kazanıyor demektir ve bu ağ değil ilke sorunudur.

Dolaşım sırasında ne olacağına karar verin

Bağlantı kesildiğinde aygıt yerel saatine ve ulaşabildiği her saat sağlayıcısına güvenir. Dizüstü bilgisayarlar kayar ve haftalarca çevrimdışı kalmış bir aygıt, yeniden bağlandıktan sonraki ilk Kerberos isteğinin başarısız olacağı kadar sapabilir.

Yeniden bağlanırken aygıtın etki alanı keşfine ve amaçlanan saat hizmeti yoluna ihtiyacı vardır; yalnızca bir dosya paylaşımına giden yola değil. Bunu ağ dışında yeniden başlatarak, VPN'i bağlayarak ve kaynağı yeniden okuyarak test edin; hiyerarşinin kendi kendine yeniden kurulduğunu varsaymak yerine.

Sanal makineler bir sağlayıcı daha ekler. Hipervizör saat tümleşimi birçok tasarımda meşru bir kaynaktır, ancak rolü bilinçli seçilmeli ve etki alanı ilkesiyle eşgüdülmelidir. Anlaşamayan iki sağlayıcı kararlı görünen ve yanlış olan bir saat üretir.

Üye ilkesini otoriteden ayrı tutun

Olağan üye yapılandırması ile yetkili sunucunun yapılandırması farklı değişiklik denetimine sahip farklı sorunlardır. Bunları karıştırmak, rutin bir dizüstü bilgisayar ilkesi değişikliğinin sonunda tüm ormanın başvurusunu değiştirmesinin yoludur.

Kararı dört satır olarak yazın: yetkili kaynak, onu taşıyan hiyerarşi, dolaşım davranışı ve aygıtta durumu kanıtlayan komut. İlk üçü belgelenmiş ve dördüncüsü yinelenebilirse, zamanla ilgili bir oturum açma hatası VPN günlüklerinde arama yerine beş dakikalık bir denetim olur.