لماذا يقبل حاسوب النطاق كلمة المرور القديمة دون اتصال

تغيير كلمة المرور يصل إلى كل مكان في الوقت نفسه، باستثناء الحاسوب المحمول الوحيد الذي ظلّ بلا اتصال أسبوعًا كاملًا. بريد الويب يقبل كلمة المرور الجديدة، وحاسوب مكتبي في المكتب يقبلها، بينما لا يزال الجهاز البعيد يسجّل الدخول بالكلمة القديمة عندما تكون VPN متوقفة. هذه ليست كلمة مرور ثانية وليست خللًا في مزامنة الدليل. إنها أداة التحقق المخزّنة مؤقتًا لتسجيل الدخول تفعل ما صُمّمت له، والحل هو سلسلة خطوات لا إعادة تعيين.

الحاسوب المحمول يتحقق من نسخة مخزّنة مؤقتًا

يحتفظ Windows المنضم إلى نطاق بمُتحقِّق محلي لعمليات تسجيل الدخول التفاعلية الناجحة الأخيرة، حتى يبدأ الجهاز عندما لا تستجيب أي وحدة تحكم بالنطاق. ويُشتق ذلك المُتحقِّق من كلمة المرور كما كانت عند ذلك التسجيل. أما تغيير كلمة المرور في مكان آخر فيحدّث الدليل، لا النسخة الموجودة على حاسوب لم يتواصل معه منذ ذلك الحين.

لذلك يمكن لكلمة المرور القديمة أن تفتح الجلسة المحلية بينما هي غير صالحة لأي مصادقة نطاق جديدة. هاتان ملاحظتان مختلفتان، والخلط بينهما يؤدي إلى إعادات تعيين متكررة.

تأكّد من هوية الاعتماد المستخدم فعليًا قبل تغيير أي شيء آخر. فرقم PIN في Windows Hello، وتسجيل الدخول عبر Entra ID، وكلمة مرور النطاق التقليدية آليات منفصلة، ورقم PIN تحديدًا ليس كلمة مرور النطاق حتى عندما يفتح سطح المكتب نفسه.

المصادقة عبر الشبكة ليست تسجيل دخول تفاعليًا

فتح مشاركة ملفات بكلمة المرور الجديدة يثبت أن مسار الشبكة يعمل. لكنه لا يحدّث ذاكرة تسجيل الدخول التفاعلي، لأن Windows يعامل مصادقة الشبكة والمصادقة التفاعلية كعمليتين منفصلتين بحالة منفصلة.

لا يتحدّث المُتحقِّق إلا عندما يتصل تسجيل دخول تفاعلي فعليًا بوحدة تحكم بالنطاق؛ أما قرص شبكة معيّن أو مطالبة Outlook فلا تفعل ذلك.

هذا التمييز يفسّر البلاغ المعتاد: يستطيع المستخدم قراءة البريد وفتح الشبكة الداخلية، ومع ذلك لا تزال شاشة القفل تطلب كلمة المرور القديمة. ويفسّر أيضًا لماذا لا يمكن لـ VPN تُشغَّل بعد تسجيل الدخول أن تساعد التسجيل الأولي، لأن النفق يصل بعد أن اتُّخذ القرار محليًا بالفعل.

احصل على تسجيل دخول واحد عبر الشبكة في اللحظة المناسبة

تتحدّث الذاكرة عندما يسجّل المستخدم الدخول تفاعليًا والنطاق متاح. وبالنسبة لجهاز بعيد، هذا يعني أن النفق يجب أن يكون قائمًا قبل تقييم الاعتماد، لا بعد ظهور سطح المكتب.

تحقّق مما إذا كان النشر يدعم الاتصال قبل تسجيل الدخول أو نفق الجهاز. فقد صُمّمت هذه لهذا التوقيت، ونفق المستخدم ليس بديلًا عنها:

nltest /dsgetdc:corp.example
klist

إذا لم يكن لنقطة النهاية مسار قبل تسجيل الدخول، فاستخدم أي عملية استرداد مدعومة توثّقها المؤسسة. بعض البيئات تستخدم تسلسل اتصال ثم قفل ثم فتح مع إبقاء النفق مفتوحًا عند شاشة القفل؛ وبيئات أخرى ترسل الجهاز إلى خطوة استرداد مُدارة. اتبع ما يناسب العميل، وتأكّد من أن النفق يبقى قائمًا عبر شاشة القفل قبل الاعتماد عليه.

احمِ طريق العودة

قبل تسجيل الخروج من جهاز بعيد، قرّر كيف سيصل تسجيل الدخول التالي إلى النطاق. فنفق المستخدم الذي يسقط مع الجلسة قد يزيل المسار الوحيد الذي كنت تعتمد عليه، وحينها لن تتجاوز شاشة القفل لا بكلمة المرور القديمة ولا بالجديدة. احتفظ بحساب إداري محلي أو وحدة تحكم خارج النطاق كخيار احتياطي. واكتب خطوة الاسترداد في مكان يستطيع المستخدم الوصول إليه دون تسجيل الدخول.

للدعم، اجمع أربع معلومات: أين تغيّرت كلمة المرور، وأي اعتماد لا يزال يعمل دون اتصال، وهل وحدة التحكم بالنطاق متاحة عبر النفق، وأي طريقة تسجيل دخول يستخدمها الحاسوب المحمول.

هذه الأربع تفصل بين مُتحقِّق قديم وبين قفل الحساب أو رفض تسجيل الدخول عبر VPN، وهي تبدو متشابهة في تذكرة الدعم لكن حلولها مختلفة. الحساب المقفل سيرفض كلمة المرور الجديدة عبر الشبكة أيضًا، فاختبر ذلك قبل لوم الذاكرة المؤقتة.

أغلق الحلقة بتسجيل دخول واحد عبر الشبكة

الهدف هو تسجيل دخول تفاعلي واحد مدعوم والنطاق متاح، يتبعه وضع معروف بلا اتصال. ذلك الحدث الواحد يحدّث المُتحقِّق وينهي دورة تغيير كلمة المرور على كل جهاز.

تحقّق من الحالة بعد ذلك عبر عدد تسجيلات الدخول المخزّنة والبحث عن وحدة تحكم بالنطاق:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

إذا كان العدد صفرًا، فذاكرة تسجيل الدخول معطّلة بالسياسة ولن يتغيّر السلوك دون اتصال مهما أُعيد تعيين كلمة المرور. هذا قرار سياسة يُطرح على المالك، وليس حلًا بديلًا يُطبَّق محليًا.