Насколько неточным должно быть время часов для отклонения запросов NTLM из-за неправильного времени?

Question

Насколько неточным должно быть время часов для отклонения запросов NTLM из-за неправильного времени?

У нас есть сеть, в которой время на некоторых клиентских рабочих станциях неточное. Существует проблема с NTP на клиентах или контроллерах домена, из-за которой время не синхронизируется. Мы работаем над этой проблемой отдельно.

В то же время запросы аутентификации в домене через NTLM не выполняются по истечении определенного периода времени, когда часы расходятся с контроллером домена и временем сервера. Какой порог точности часов необходим для успешного выполнения этих запросов? Должны ли часы быть с точностью до 10 секунд друг от друга? 30 секунд? Одна минута?

РЕДАКТИРОВАТЬ: ответ, который указывает NTLM не полагается на правильное время, является неправильным. Согласно статье Microsoft KB 976918: http://support.microsoft.com/kb/976918

Windows 7 и Windows Server 2008 R2 поддерживают расширенную защиту для встроенной аутентификации, которая по умолчанию включает поддержку маркера привязки канала (CBT). [...] Вы можете столкнуться с одним или несколькими из следующих симптомов: [...] Сбой аутентификации NTLM, когда существует разница во времени между клиентом и сервером DC или сервером рабочей группы.

2

active-directory time ntp ntlm

Источник

dotnetengineer 01 мар '12 в 22:28

1 ответ

Другие вопросы по тегам active-directory time ntp ntlm

grawity 01 мар '12 в 22:54 2012-03-01 22:54 · Answer 1 · 2012-03-01 22:54

Насколько я знаю, временные метки вообще не используются в NTLM.

С другой стороны, Kerberos (который является основным протоколом аутентификации в Active Directory), как правило, требует, чтобы часы были в течение нескольких минут. Microsoft Windows имеет 5 минут по умолчанию MaxClockSkewКак и MIT Kerberos.