Насколько неточным должно быть время часов для отклонения запросов NTLM из-за неправильного времени?

Question

У нас есть сеть, где время на некоторых клиентских рабочих станциях неточное. Существует проблема с NTP на клиентах или контроллерах домена, из-за которой время не синхронизируется. Мы работаем над этой проблемой отдельно.

В то же время запросы аутентификации в домене через NTLM не выполняются по истечении определенного периода времени, когда часы расходятся с контроллером домена и временем сервера. Какой порог точности часов необходим для успешного выполнения этих запросов? Должны ли часы быть с точностью до 10 секунд друг от друга? 30 секунд? Одна минута?

РЕДАКТИРОВАТЬ: ответ, который указывает NTLM не полагается на правильное время, является неправильным. Согласно статье Microsoft KB 976918: http://support.microsoft.com/kb/976918

Windows 7 и Windows Server 2008 R2 поддерживают расширенную защиту для встроенной аутентификации, которая по умолчанию включает поддержку токена привязки канала (CBT). [...] Вы можете испытать один или несколько из следующих симптомов: [...] Сбой аутентификации NTLM, когда существует разница во времени между клиентом и DC или сервером рабочей группы.

Answer 1

Насколько я знаю, временные метки вообще не используются в NTLM.

С другой стороны, Kerberos (который является основным протоколом аутентификации в Active Directory), как правило, требует, чтобы часы были в течение нескольких минут. Microsoft Windows имеет 5 минут в качестве MaxClockSkew по умолчанию, как и MIT Kerberos.