Vì sao VPN không sửa được đồng hồ của laptop đã gia nhập miền

Một nhân viên làm việc từ xa kết nối VPN, đường hầm dựng lên, và các lần đăng nhập bắt đầu thất bại với lỗi xác thực có nhắc đến thời gian. Không có gì hỏng trong đường hầm. VPN chở gói tin giữa các mạng; nó không cho hai máy một đồng hồ chung, và xác thực miền, kiểm tra chứng chỉ cùng tương quan nhật ký đều phụ thuộc vào những đồng hồ khớp nhau đủ gần. Từ đó có ba quyết định: ai sở hữu thời gian trong miền, thiết bị thực sự dùng gì, và điều gì xảy ra khi thiết bị chuyển vùng.

Đường đi không phải đồng hồ

Xác thực Kerberos chứa dữ liệu nhạy cảm với thời gian và từ chối các yêu cầu nằm ngoài dung sai đã cấu hình, mà trong miền Windows mặc định là năm phút. Chứng chỉ có khoảng hiệu lực, nên một thiết bị có đồng hồ chạy nhanh đủ sẽ coi chứng chỉ hợp lệ là chưa hợp lệ. Bản ghi kiểm tra từ nhiều máy chỉ tương quan được nếu đồng hồ của chúng gần nhau, và điều đó quan trọng lần đầu tiên một cuộc rà soát sự cố hỏi việc gì xảy ra trước.

Ba phụ thuộc đó độc lập với đường hầm. Bật VPN thay đổi khả năng kết nối, và khả năng kết nối là thứ cho phép thiết bị tìm được nguồn thời gian; nó không phải là nguồn.

Giữ múi giờ hiển thị tách khỏi chính đồng hồ. Hai laptop hiển thị giờ địa phương khác nhau có thể hoàn toàn đồng bộ, và hai máy hiển thị cùng một giờ có thể lệch nhau vài phút nếu thiết lập múi giờ khác nhau. Đổi múi giờ không phải là sửa một đồng hồ sai, và lùi ngày để một chứng chỉ hết hạn hoạt động sẽ phá hỏng mọi kiểm tra khác phụ thuộc thời gian trên máy.

Quyết định ai sở hữu thời gian trong miền

Các thành viên Windows đã gia nhập miền thường tuân theo hệ thống cấp bậc thời gian của Active Directory thay vì hỏi máy chủ công cộng mỗi lần. Chuỗi đó kết thúc tại bộ mô phỏng PDC của gốc rừng, mà tham chiếu của nó là nguồn có thẩm quyền của tổ chức.

Hai điều kiện quyết định tham chiếu: chính sách có cho phép dịch vụ thời gian bên ngoài hay không, và mạng có thể tiếp cận đáng tin cậy một nguồn nội bộ đã được phê duyệt từ mọi điểm hay không. Nếu cả hai đều không rõ, câu trả lời thực tế là giữ nguyên hệ thống cấp bậc và sửa khả năng kết nối thay vì trỏ máy khách tới một nhóm công cộng. Điều kiện thứ ba quyết định đường thất bại: thiết bị nên làm gì khi không tiếp cận được nguồn nào. Giải quyết điều đó trước sẽ tránh được cách vá tạm bằng việc ghim máy chủ công cộng lên một laptop.

Lựa chọn đó thuộc về quản trị viên miền và thời gian, không thuộc về thiết kế truy cập từ xa. Một laptop tự cấu hình mình thành cơ quan thời gian đáng tin cậy là kiến trúc khác, và hiếm khi là kiến trúc mà cuộc rà soát bảo mật đã phê duyệt.

Đọc xem thiết bị thực sự dùng gì

Hai lệnh chỉ đọc ghi lại trạng thái hiện tại trên một thiết bị Windows được quản lý, và nên chụp lại trước và sau khi thay đổi:

w32tm /query /source
w32tm /query /status
w32tm /query /configuration

Ghi lại nguồn đã chọn, lần đồng bộ thành công gần nhất và stratum hoặc định danh tham chiếu bên cạnh chính sách quản lý thiết bị. Một lần đồng bộ thủ công thành công chứng minh lệnh hoạt động, không chứng minh chính sách sống sót qua lần khởi động lại hay thay đổi vai trò.

Nếu nguồn hiển thị đồng hồ CMOS cục bộ, thiết bị không hề đồng bộ, điều thường có nghĩa là bộ điều khiển miền không tiếp cận được lúc khởi động hoặc dịch vụ thời gian bị chính sách vô hiệu hóa. Nếu nó hiển thị máy chủ công cộng, thứ gì đó ngoài hệ thống cấp bậc của miền đang thắng, và đó là câu hỏi chính sách, không phải mạng.

Quyết định điều gì xảy ra khi chuyển vùng

Khi bị ngắt kết nối, thiết bị dựa vào đồng hồ cục bộ và mọi nhà cung cấp thời gian mà nó tiếp cận được. Laptop bị trôi, và một thiết bị đã ngoại tuyến nhiều tuần có thể lệch đủ để yêu cầu Kerberos đầu tiên sau khi kết nối lại thất bại.

Khi kết nối lại, thiết bị cần phát hiện miền và đường dịch vụ thời gian dự kiến, không chỉ một tuyến tới thư mục chia sẻ. Hãy kiểm tra bằng cách khởi động lại ngoài mạng, kết nối VPN và đọc lại nguồn thay vì cho rằng hệ thống cấp bậc đã tự tái lập.

Máy ảo thêm một nhà cung cấp nữa. Tích hợp thời gian của hypervisor là nguồn hợp lệ trong nhiều thiết kế, nhưng vai trò của nó cần được chọn có chủ đích và phối hợp với chính sách miền. Hai nhà cung cấp không đồng ý sẽ tạo ra một đồng hồ trông ổn định mà lại sai.

Giữ chính sách thành viên tách khỏi thẩm quyền

Cấu hình thành viên thông thường và cấu hình của máy chủ có thẩm quyền là hai vấn đề khác nhau với kiểm soát thay đổi khác nhau. Trộn chúng chính là cách một thay đổi chính sách laptop thường lệ cuối cùng lại thay đổi tham chiếu cho cả rừng.

Viết bản ghi quyết định thành bốn dòng: nguồn có thẩm quyền, hệ thống cấp bậc mang nó, hành vi khi chuyển vùng và lệnh chứng minh trạng thái trên thiết bị. Nếu ba dòng đầu được ghi lại và dòng thứ tư lặp lại được, một lỗi đăng nhập liên quan thời gian trở thành bước kiểm tra năm phút thay vì cuộc truy tìm trong nhật ký VPN.