[2000] Klok fout en toch kunnen aanloggen?

[Verwijderd]

Hoi,

Wij hebben ergens een pc'tje staan in een 2000 domein (Active Directory) dat met een aparte tijdsklok werkt. De tijdszone van deze pc is dezelfde als op de servers, echter het uur staat een uur vroeger (op deze pc draait een oeroud pakket en die klok MOET een uur vroeger staan).

Dus op die ene client is het altijd een uur vroeger dan op de servers. Op die client is de 'Windows Time Service' gedisabled, anders gaat hij immers altijd de klok juistzetten!

Nu dacht ik dat je op een 2000 machine niet kon aanloggen als de klok meer dan vijf minuten fout stond tov. de server? (ivm. Kerberos authenticatie) Wij kunnen op deze pc echter vrolijk aanloggen. Ik heb bij wijze van test het uur van een werkstation eens compleet fout gezet (eerst time service disabled) en ik kon/kan nog steeds aanloggen!
Kan er mij iemand uitleggen waarom dit kan?


Bedankt!

[Koffie]

Zou wel erg knudde zijn als je door een foutief BIOS batterijtje niet meer zou kunnen aanloggen

Move > )

[Predator]

Op donderdag 16 mei 2002 15:55 schreef Koffie het volgende:
Zou wel erg knudde zijn als je door een foutief BIOS batterijtje niet meer zou kunnen aanloggen

Move > )

Is nochtans wel zo

Cannot Log On If Time and Date Are Not Synchronized (Q232386)

CAUSE
This behavior can occur if the time or date is not synchronized between your computer and the domain to which you are attempting to log on. If the client computer's time or date is not synchronized with the authenticating domain controller, Kerberos validation does not succeed. This occurs because of the variation in the time stamps between the AS_Req and AS_reply between the client and server. Because Kerberos is the only form of logon authentication between two Windows 2000-based computers, the logon does not succeed.

[Verwijderd]

Je kan gewoon aanloggen hoor, heeft er niets mee te maken.

[Verwijderd]

Je kan dus inderdaad aanloggen!

Hoewel dit volgens het Kerberos principe niet zou mogen! Er mag immers maximaal 5 minuten tijdsverschil tussen client en DC zijn! Normaal zou ik foutmeldingen verwachten als ik manueel de klok foutzet en time service disable, maar ik kan vrolijk rebooten, aanloggen, afloggen, emailen, ... en noem maar op...

Dit is me iets vreemds...

[mvdejong]

Is dat PC'tje met de antieke appel ook een W2k-systeem ?
De Kerberos-authenticatie is, zoals hier geciteerd, tussen W2k-systemen, andere clients hebben die authenticatie ofwel niet beschikbaar, of optioneel.

[Verwijderd]

Yep,

't is inderdaad ook een win2k pc'tje. Heb het al eens geprobeerd met een volledige nieuwe win2k client, in 't domein gehangen en werkte perfect!

Terwijl dit toch niet zou mogen, of zie ik iets over het hoofd?