Samba (implementacja protokołu SMB/CIFS dla systemów Linux/Unix) i NFS (Network File System) to najczęściej stosowane protokoły udostępniania plików w sieciach lokalnych. Serwery plików oparte na Sambie obsługują środowiska mieszane (Windows + Linux), często pełniąc rolę kontrolera domeny Active Directory. Synchronizacja czasu jest tu krytyczna – Kerberos (protokół uwierzytelniania w AD) wymaga zgodności czasu między klientem a serwerem z tolerancją zaledwie 5 minut.
Rozładowana bateria CMOS na serwerze Samba może więc nie tylko zakłócić logi, ale wręcz uniemożliwić uwierzytelnianie użytkowników w domenie.
Kerberos i okno 5 minut – krytyczna zależność od czasu
Protokół Kerberos, używany przez Active Directory (i przez Samba DC), odrzuca bilety uwierzytelniające, jeśli różnica czasu między klientem a serwerem przekracza 300 sekund (5 minut). To zabezpieczenie przed atakiem typu replay, ale przy rozładowanej baterii CMOS na serwerze Samba lub stacji klienckiej może powodować błędy logowania – „clock skew too great" lub „The time on this computer or network device does not match the time of the domain controller". Użytkownicy widzą błąd logowania do domeny bez możliwości dostępu do zasobów sieciowych.
Samba DC a zegar systemowy
Samba DC (Domain Controller) musi mieć dokładnie zsynchronizowany czas, ponieważ wystawia bilety Kerberos z osadzonym znacznikiem czasu. Jeśli bateria CMOS serwera jest rozładowana i serwer startuje bez dostępu do NTP (np. po restarcie w sieci izolowanej), zegar może wskazywać rok 2000 lub podobny. Wszystkie stacje klienckie, które synchronizują czas z tym serwerem (jak to jest standardem w domenie), przejmą błędny czas, co kaskadowo zakłóci działanie całej domeny.
NFS i znaczniki czasu plików
NFS przesyła metadane plików (mtime, ctime, atime) między serwerem a klientem. Jeśli zegary serwera i klienta są niezgodne, narzędzia synchronizacji plików (rsync, cp z opcją -p) mogą błędnie oceniać, które pliki są „nowsze". rsync z opcją --checksum pomija porównanie czasu, co bywa stosowane jako obejście tego problemu. Niemniej, pliki z błędnymi datami modyfikacji utrudniają zarządzanie kopiami zapasowymi i identyfikację ostatnio zmodyfikowanych dokumentów.
Zalecenia dla administratorów serwerów plików
Serwer Samba/NFS powinien synchronizować czas przez chrony lub ntpd z autorytywnym źródłem. Należy regularnie sprawdzać status synchronizacji komendą chronyc tracking lub timedatectl. Bateria CMOS serwera powinna być wymieniana profilaktycznie co 3–5 lat. W przypadku awarii baterii CMOS i startu serwera bez NTP czas należy ustawić ręcznie przed uruchomieniem usługi Samba, aby uniknąć kaskadowych problemów z uwierzytelnianiem w domenie. Nasz serwis serwisuje zarówno sprzętową baterię CMOS, jak i pomaga skonfigurować synchronizację NTP po wymianie.
