Чому VPN не виправляє годинник ноутбука, включеного в домен

Віддалений працівник підключає VPN, тунель піднімається, і входи починають зриватися з помилкою автентифікації, яка згадує час. З тунелем усе гаразд. VPN переносить пакети між мережами; він не дає двом машинам спільного годинника, а доменна автентифікація, перевірка сертифікатів і кореляція аудиту залежать від годинників, які збігаються достатньо близько. Звідси три рішення: кому належить час у домені, що насправді використовує пристрій і що відбувається, поки пристрій у роумінгу.

Шлях — це не годинник

Автентифікація Kerberos містить дані, чутливі до часу, і відхиляє запити поза налаштованим допуском, який у доменах Windows за замовчуванням становить п’ять хвилин. Сертифікати мають інтервали дії, тому пристрій, чий годинник достатньо поспішає, вважає дійсний сертифікат ще недійсним. Записи аудиту з кількох машин зіставляються лише за близьких годинників, і це важливо першого разу, коли розбір інциденту питає, що сталося раніше.

Ці три залежності не пов’язані з тунелем. Підняття VPN змінює доступність, а доступність — це те, що дозволяє пристрою знайти джерело часу; вона не є джерелом.

Тримайте відображуваний часовий пояс окремо від самого годинника. Два ноутбуки, що показують різний місцевий час, можуть бути цілком синхронізовані, а два, що показують ту саму годину, можуть розходитися на хвилини, якщо їхні налаштування часового поясу різні. Зміна часового поясу не є ремонтом неправильного годинника, а відкат дати назад, щоб запрацював прострочений сертифікат, ламає всі інші перевірки на машині, що залежать від часу.

Вирішіть, кому належить час у домені

Члени Windows, включені в домен, зазвичай дотримуються ієрархії часу Active Directory, а не опитують публічний сервер щоразу. Цей ланцюг закінчується на емуляторі PDC кореня лісу, чиє посилання є авторитетним джерелом організації.

Посилання визначають дві умови: чи дозволяє політика зовнішню службу часу і чи може мережа надійно досягти затвердженого внутрішнього джерела з кожного сайту. Якщо обидві неясні, практична відповідь — зберегти ієрархію недоторканою і виправити доступність, а не спрямовувати клієнтів на публічний пул. Третя умова визначає шлях відмови: що має робити пристрій, коли жодне джерело недоступне. Завчасне рішення уникає імпровізованого виправлення з прибиванням публічного сервера на одному ноутбуці.

Цей вибір належить адміністраторам домену й часу, а не проєктуванню віддаленого доступу. Ноутбук, який налаштовує себе як надійний авторитет часу, — це інша архітектура, і рідко та, яку схвалив аудит безпеки.

Прочитайте, що насправді використовує пристрій

Дві команди лише для читання документують поточний стан на керованому пристрої Windows, і їх варто зафіксувати до і після зміни:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Запишіть вибране джерело, останню успішну синхронізацію та стратум або ідентифікатор посилання поруч із політикою керування пристроєм. Одна успішна ручна синхронізація доводить, що команда працює, а не що політика переживе перезавантаження чи зміну ролі.

Якщо джерело показує локальний годинник CMOS, пристрій взагалі не синхронізується, що зазвичай означає, що контролер домену був недоступний під час завантаження або службу часу вимкнено політикою. Якщо воно показує публічний сервер, перемагає щось поза ієрархією домену, і це питання політики, а не мережі.

Вирішіть, що відбувається під час роумінгу

Поки пристрій від’єднаний, він покладається на свій локальний годинник і на будь-яких постачальників часу, до яких може дістатися. Ноутбуки дрейфують, і пристрій, що був офлайн тижнями, може відхилитися настільки, що перший запит Kerberos після повторного підключення не пройде.

Під час повторного підключення пристрою потрібні виявлення домену та передбачений шлях до служби часу, а не лише маршрут до файлового ресурсу. Перевірте це, перезавантажившись поза мережею, підключивши VPN і знову прочитавши джерело, замість припущення, що ієрархія відновилася сама.

Віртуальні машини додають ще одного постачальника. Інтеграція часу гіпервізора — законне джерело в багатьох проєктах, але її роль треба обирати свідомо й узгоджувати з політикою домену. Два неузгоджені постачальники дають годинник, що виглядає стабільним і є неправильним.

Тримайте політику членів окремо від авторитету

Звичайна конфігурація члена й конфігурація авторитетного сервера — це різні задачі з різним контролем змін. Їх змішування — це шлях, яким рутинна зміна політики ноутбука зрештою змінює посилання для всього лісу.

Запишіть рішення чотирма рядками: авторитетне джерело, ієрархія, що його несе, поведінка під час роумінгу та команда, що доводить стан на пристрої. Якщо перші три задокументовані, а четверта відтворювана, збій входу, пов’язаний із часом, перетворюється на п’ятихвилинну перевірку замість пошуку в журналах VPN.