Ваш Mac перадае няправільны ўліковы запіс Windows праз RDP

Тунель перападключаецца, Mac зноў дасягае офіснай сеткі, а Remote Desktop усё яшчэ адказвае збоем лагіна. Гэтая памылка не ад VPN. Тунель выводзіць Mac у дазволеную сетку; уліковы запіс Windows уваходзіць на выдалены камп'ютар, і запіс злучэння можа працягваць адпраўляць запіс, якім вы перасталі карыстацца некалькі месяцаў таму.

Праверце запіс, перш чым чапаць звязку ключоў.

Уліковы запіс VPN і ўліковы запіс Windows — розныя рэчы

Ідэнтычнасць VPN аўтэнтыфікуе прыладу або чалавека на шлюзе тунеля. Яна нічога не кажа пра тое, які ўліковы запіс Windows прыме выдалены хост, і не можа яго замяніць. Калі тунель здаровы, а працоўны стол адхіляе лагін, праблема ўжо выйшла за межы сеткавага ўзроўню. Разглядайце дзве аўтэнтыфікацыі як асобныя падзеі з асобнымі журналамі. Шлюз можа паказваць чыстую сесію, пакуль журнал бяспекі Windows фіксуе няўдалы лагін зусім з іншай прычыны.

Выкажам здагадку, што адміністратар сказаў вам выкарыстоўваць EXAMPLE\alex, а захаваны запіс па-ранейшаму выбірае голы alex. Гэта розныя ўліковыя запісы. Некваліфікаванае імя супастаўляецца з лакальнымі запісамі выдаленага камп'ютара, і на машыне, уключанай у дамен, яно можа зусім не супаставіцца з ідэнтычнасцю дамена.

Такім чынам, выдаленне прэфікса дамена — не ўніверсальны рамонт. Яно змяняе, які ўліковы запіс запытваецца, і можа даць адмову, якая выглядае як праблема з паролем, хаця пароль ніколі не быў прычынай.

Адкрыйце запіс злучэння, а не ўсю звязку ключоў

У актуальным Windows App для macOS знайдзіце выдалены ПК у раздзеле прылад, адкрыйце дзеянне рэдагавання і паглядзіце на ўліковы запіс, прывязаны да гэтага канкрэтнага запісу. Праграма паказвае элементы кіравання захаванымі ўліковымі данымі, якія дазваляюць выбраць іншы захаваны запіс або выдаліць састарэлы. Гэта падтрыманае месца для выпраўлення выбару. Змяняйце адну ўласцівасць за раз, каб было зразумела, якая правака мела значэнне. Змена ўліковых даных і змена імені хоста разам даюць вынік, якога ніхто не зможа прыпісаць.

Не пачынайце з выдалення кожнага элемента звязкі ключоў, у імені якога ёсць імя сервера. Элементы звязкі ключоў агульныя паміж праграмамі, і шырокае выдаленне можа прыбраць несуродны доступ, нічога не змяніўшы на баку Windows. Яно таксама знішчае доказы, якія спатрэбяцца, калі сапраўднай праблемай акажуцца імя хоста, маршрут або служба RDP.

Калі адны захаваныя ўліковыя даныя ўжываюцца некалькімі выдаленымі ПК, праверце гэтыя залежнасці перад выдаленнем. Рэдагаванне запісу для аднаго ПК зваротнае; выдаленне агульных уліковых даных — змена з шырэйшым радыусам паражэння і горшым аўдытарскім следам.

Выкарыстоўвайце тую форму запісу, якую даў адміністратар

Увядзіце ўліковы запіс дакладна так, як ён быў выдадзены, у форме, якую чакае асяроддзе: DOMAIN\user для дамена ў стылі NetBIOS або user principal name, калі менавіта гэта выкарыстоўвае каталог. Затым захавайце яго для гэтага ПК і зрабіце адну наўмысную спробу злучэння.

Глядзіце, які ўліковы запіс паказвае запыт лагіна. Запыт, які ўжо змяшчае іншае імя, азначае, што захаваны выбар не быў заменены, і спроба, якую вы толькі што зрабілі, зноў правярала старыя ўліковыя даныя.

Трымайце пароль па-за нататкамі, заяўкамі і здымкамі экрана. Запісвайце замест гэтага імя ўліковага запісу і дакладны код памылкі, бо код адрознівае дрэнныя ўліковыя даныя ад адмовы па палітыцы, скончанага пароля або машыны, якая зусім не прымае RDP.

Няўдалае злучэнне да лагіна — гэта іншая няспраўнасць

Калі праглядальнік збоіць да з'яўлення любога лагіна Windows, уліковыя даныя не пад падазрэннем. Праверце, што імя хоста развязваецца, што маршрут да хоста існуе праз тунель і што служба RDP слухае. TCP-злучэнне, якое так і не ўстанавілася, ніколі не дасягае ўзроўню ўліковых запісаў.

І наадварот, яўная адмова ўліковага запісу не з'яўляецца доказам, што DNS зламаны або што праверку сертыфікатаў трэба паслабіць. Такія змены аслабляюць злучэнне і звычайна пакідаюць адмову там, дзе яна была.

Тэстуйце найменшымі магчымымі крокамі: пераканайцеся, што порт дасягальны, што запыт лагіна з'яўляецца, што паказаны запіс — той, які вы маеце на ўвазе, затым увядзіце пароль. Кожны крок мае ўласны збой і ўласнае выпраўленне.

Пакіньце аўтаматычнае перападключэнне ў спакоі

Аўтаматычнае перападключэнне выкарыстоўвае існуючы запіс, уключаючы захаваны ўліковы запіс. Гэта зручнасць, а не рамант уліковых даных, таму выключэнне не выпраўляе няправільны выбар, а ўключэнне не стварае яго. Калі запіс цяпер утрымлівае правільны ўліковы запіс, перападключэнне скарыстаецца ім.

Захавайце выпраўлены запіс, адзін раз падключыцеся ўручную і запішыце, які ўліковы запіс спрацаваў. Менавіта гэты радок ператварае дыягностыку наступнага чалавека ў пяць хвілін замест пасляабедзенных раскопак звязкі ключоў.