Nega VPN domenga ulangan noutbukning soatini tuzatmaydi

Masofadan ishlaydigan xodim VPNga ulanadi, tunnel ko‘tariladi va kirishlar vaqtni eslatuvchi autentifikatsiya xatosi bilan muvaffaqiyatsiz bo‘la boshlaydi. Tunnelda hech narsa buzilmagan. VPN paketlarni tarmoqlar orasida tashiydi; u ikki mashinaga umumiy soat bermaydi, domen autentifikatsiyasi, sertifikatlarni tekshirish va audit korrelyatsiyasi esa yetarlicha yaqin mos keladigan soatlarga bog‘liq. Bundan uchta qaror kelib chiqadi: domendagi vaqt kimga tegishli, qurilma aslida nimadan foydalanadi va qurilma roumingda bo‘lganda nima sodir bo‘ladi.

Yo‘l soat emas

Kerberos autentifikatsiyasi vaqtga sezgir ma’lumotlarni o‘z ichiga oladi va sozlangan tolerantlikdan tashqaridagi so‘rovlarni rad etadi, bu Windows domenlarida sukut bo‘yicha besh daqiqa. Sertifikatlarning amal qilish oraliqlari bor, shuning uchun soati yetarlicha oldinda bo‘lgan qurilma amaldagi sertifikatni hali amal qilmaydigan deb qabul qiladi. Bir nechta mashinaning audit yozuvlari faqat soatlari yaqin bo‘lganda korrelyatsiyalanadi va hodisani ko‘rib chiqish birinchi marta nima avval sodir bo‘lganini so‘raganda bu muhim.

Bu uchta bog‘liqlik tunnelga aloqador emas. VPNni ko‘tarish yetib borishni o‘zgartiradi, yetib borish esa qurilmaga vaqt manbasini topish imkonini beradigan narsadir; u manbaning o‘zi emas.

Ko‘rsatilgan vaqt mintaqasini soatning o‘zidan alohida saqlang. Turli mahalliy vaqtni ko‘rsatadigan ikki noutbuk to‘liq sinxronlangan bo‘lishi mumkin, bir xil soatni ko‘rsatadigan ikkitasi esa vaqt mintaqasi sozlamalari farq qilsa, daqiqalar bilan farq qilishi mumkin. Vaqt mintaqasini o‘zgartirish noto‘g‘ri soatni ta’mirlash emas, muddati o‘tgan sertifikat ishlashi uchun sanani orqaga surish esa mashinadagi vaqtga bog‘liq barcha boshqa tekshiruvlarni buzadi.

Domendagi vaqt kimga tegishli ekanini hal qiling

Domenga ulangan Windows a’zolari odatda har safar ochiq serverdan so‘ramay, Active Directory vaqt ierarxiyasiga amal qiladi. Bu zanjir o‘rmon ildizining PDC emulyatorida tugaydi, uning havolasi tashkilotning vakolatli manbasidir.

Havolani ikki shart belgilaydi: siyosat tashqi vaqt xizmatiga ruxsat beradimi va tarmoq har bir saytdan tasdiqlangan ichki manbaga ishonchli yetib boradimi. Ikkalasi ham noaniq bo‘lsa, amaliy javob ierarxiyani butun saqlab, yetib borishni tuzatishdir, mijozlarni ochiq hovuzga yo‘naltirish emas. Uchinchi shart nosozlik yo‘lini belgilaydi: hech bir manbaga yetib bo‘lmaganda qurilma nima qilishi kerak. Buni oldindan hal qilish bitta noutbukka ochiq serverni qadab qo‘yishdek shoshilinch yechimdan saqlaydi.

Bu tanlov domen va vaqt administratorlariga tegishli, masofadan kirish dizayniga emas. O‘zini ishonchli vaqt organi sifatida sozlaydigan noutbuk boshqa arxitektura va xavfsizlik tekshiruvi ma’qullagan variant kamdan-kam shu bo‘ladi.

Qurilma aslida nimadan foydalanayotganini o‘qing

Boshqariladigan Windows qurilmasidagi joriy holatni faqat o‘qish uchun mo‘ljallangan ikki buyruq hujjatlashtiradi va ularni o‘zgarishdan oldin hamda keyin yozib qo‘yishga arziydi:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Tanlangan manbani, oxirgi muvaffaqiyatli sinxronlashuvni va stratum yoki havola identifikatorini qurilmaning boshqaruv siyosati yoniga yozib qo‘ying. Bir marta muvaffaqiyatli qo‘lda sinxronlashuv buyruq ishlashini isbotlaydi, siyosat qayta yuklash yoki rol o‘zgarishidan keyin ham saqlanishini emas.

Agar manba mahalliy CMOS soatini ko‘rsatsa, qurilma umuman sinxronlashmaydi, bu odatda yuklanish paytida domen kontrolleri yetib bo‘lmaydigan bo‘lganini yoki vaqt xizmati siyosat bilan o‘chirilganini bildiradi. Agar u ochiq serverni ko‘rsatsa, domen ierarxiyasidan tashqaridagi narsa g‘olib kelmoqda va bu tarmoq emas, siyosat masalasi.

Roumingda nima sodir bo‘lishini hal qiling

Ulanish uzilganida qurilma o‘z mahalliy soatiga va yetib bora oladigan har qanday vaqt provayderiga tayanadi. Noutbuklar siljiydi va haftalab oflayn bo‘lgan qurilma qayta ulangandan keyingi birinchi Kerberos so‘rovi muvaffaqiyatsiz bo‘ladigan darajada chetlashishi mumkin.

Qayta ulanishda qurilmaga domenni aniqlash va vaqt xizmatining mo‘ljallangan yo‘li kerak, faqat fayl almashishga marshrut emas. Buni tarmoqdan tashqarida qayta yuklash, VPNni ulash va manbani qayta o‘qish orqali sinab ko‘ring, ierarxiya o‘zini tiklab oldi deb taxmin qilish o‘rniga.

Virtual mashinalar yana bir provayder qo‘shadi. Gipervayzer vaqt integratsiyasi ko‘plab dizaynlarda qonuniy manba, ammo uning roli ataylab tanlanishi va domen siyosati bilan muvofiqlashtirilishi kerak. Kelishmaydigan ikki provayder barqaror ko‘rinadigan va noto‘g‘ri soat hosil qiladi.

A’zo siyosatini vakolatdan alohida saqlang

Oddiy a’zo konfiguratsiyasi va vakolatli server konfiguratsiyasi har xil o‘zgarish nazoratiga ega har xil muammolar. Ularni aralashtirish oddiy noutbuk siyosati o‘zgarishi oxir-oqibat butun o‘rmon havolasini o‘zgartirishining yo‘lidir.

Qarorni to‘rt satrda yozing: vakolatli manba, uni olib yuruvchi ierarxiya, roumingdagi xatti-harakat va qurilmada holatni isbotlovchi buyruq. Birinchi uchtasi hujjatlashtirilgan va to‘rtinchisi takrorlanadigan bo‘lsa, vaqtga oid kirish nosozligi VPN jurnallarida izlash o‘rniga besh daqiqalik tekshiruvga aylanadi.