Чаму ноўтбуку з Protected Users патрэбен VPN да ўваходу

Ноўтбук, працоўны ўліковы запіс і гатэльная сетка разам даюць цыкл уваходу, які не перарываецца ніякай колькасцю паўтораў. Уліковы запіс знаходзіцца ў Protected Users, што перашкаджае Windows захоўваць верыфікатар, патрэбны для аўтэнтыфікацыі карыстальніка ў аўтаномным рэжыме. Любы план накшталт «спачатку ўвайсці, потым падключыць тунель» мае зваротны парадак, і абарона робіць менавіта тое, што абяцае. Далейшае мяркуе традыцыйны ўліковы запіс Active Directory на падтрымліваным хасце Windows.

Што абарона насамрэч прыбірае

Звычайна Windows кэшуе верыфікатар, каб уліковы запіс дамена мог увайсці, калі кантролер дамена недасяжны. Protected Users блакуе гэта для ўліковага запісу, што прыбірае аўтаномны ўваход у дамен як магчымасць, а не робіць яго ненадзейным.

Гэта не звычайная праблема састарэлага кэша, і звычайныя сродкі тут не дзейнічаюць. Паўторны ўваход анлайн, чарговая змена пароля або павелічэнне ліку кэшаваных уваходаў не вернуць магчымасць, бо ніводнае з гэтых дзеянняў не стварае верыфікатар, які палітыка адмаўляецца захоўваць. Уліковы запіс паводзіць сябе так, як задумана, а задума мяркуе наяўнасць сеткі тады, калі Windows запытвае. Стаўленне да сімптома як да збою кэша — гэта шлях, якім каманды перабудоўваюць профіль, што ніколі не быў зламаны.

Чаму тунель павінен існаваць да працоўнага стала

Прылада павінна дасягнуць аўтэнтыфікацыі дамена ў той момант, калі Windows яе запытвае, а гэта да ўзнікнення любой карыстальніцкай сесіі. Кліент VPN, які запускаецца толькі пасля з’яўлення працоўнага стала, пакідае свежы ўваход у чаканні шляху, які ніколі не прыйдзе. Залежнасць належыць машыне, а не карыстальніку, які яшчэ не ўвайшоў.

Выкарыстоўвайце падтрымліваемую схему перад уваходам, узгодненую з уладальнікамі канцавых прылад і ідэнтычнасці. Тунель прылады Always On VPN, аўтэнтыфікаваны сертыфікатам кампутара, падыходзіць, калі кіраваная прылада адпавядае папярэднім умовам гэтага разгортвання. Падтрымліваемая інтэграцыя пастаўшчыка з экранам уваходу — іншы варыянт. Звычайны карыстальніцкі профіль з аўтаматычным трыгерам не з’яўляецца ні тым, ні іншым, як бы падобна ён ні выглядаў у інтэрфейсе кліента.

Гэтаму шляху патрэбны разрозненне імёнаў для дамена, дасяжны кантролер дамена і любыя пратаколы аўтэнтыфікацыі, якія можа выкарыстоўваць уліковы запіс, і нічога з гэтага не забяспечвае індыкатар «падключана». Яго маршруты і фільтры павінны несці службы ідэнтычнасці і больш нічога непатрэбнага, бо гэты спіс прэфіксаў — гэта паверхня, якую выкрадзены ноўтбук атрымлівае да таго, як хто-небудзь увойдзе. Рашэнні split-tunnel, прынятыя для карыстальніцкага тунеля, не пераносяцца на тунель прылады, таму разглядайце абодва асобна.

Дасяжнасць — гэта не сумяшчальнасць аўтэнтыфікацыі

Тунель можа бездакорна пераносіць пакеты, пакуль аўтэнтыфікацыя дамена не ўдаецца, бо механізм, які спрабуюць, — той, які ўліковы запіс не можа выкарыстоўваць. У дамене, які прытрымліваецца абмежаванняў групы, NTLM недаступны ўдзельнікам, а Kerberos патрабуе сумяшчальнага з AES уліковага запісу і канфігурацыі. Шлях пакетаў не можа выправіць ні тое, ні другое. Таму чысты ping да кантролера дамена не з’яўляецца доказам, што ўваход спрацуе.

Могуць дзейнічаць і дзве сістэмы ўліковых даных. VPN можа аўтэнтыфікавацца ў пастаўшчыка ідэнтычнасці, пакуль Windows асобна патрабуе ўваходу ў дамен, і прыняцце першай нічога не кажа пра другую. «VPN падключаны» і «карыстальнік увайшоў» — асобныя назіранні, і выпраўленне аднаго не азначае другога.

Чытайце сведчанні аўтэнтыфікацыі

Збірайце падзеі ад кліента і ад кантролера дамена для адной і той жа спробы, а не толькі з аднаго боку. Журналы Protected Users знаходзяцца ў Applications and Services Logs\Microsoft\Windows\Authentication, і адміністратару можа спатрэбіцца ўключыць журнал, перш чым ён што-небудзь запіша. Суаднясіце часовыя меткі з уласным журналам падключэння тунеля, бо памылка парадку выглядае як збой уліковых даных з любога боку.

Першая каманда ніжэй пералічвае ўсе журналы аўтэнтыфікацыі, якія паказвае прылада, таму вы чытаеце той, што існуе, а не той, які назваў пост у блогу. Другая чытае нядаўнія запісы, калі вы ведаеце назву. Шукайце пакет аўтэнтыфікацыі, уліковы запіс і ўмову збою, бо адсутны сеткавы шлях і адхілены механізм пакідаюць розныя сведчанні, і толькі адно з іх — праблема VPN. Калі тунель падняўся пасля спробы, парадак быў няправільны, што б ні казалі гэтыя запісы.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Дакажыце мяжу з халоднай загрузкі

Праводзьце тэст з выйшаўшага або толькі што загружанага стану з абмежаваным уліковым запісам, і трымайце ўзгоднены шлях аднаўлення адкрытым, перш чым нешта змяняць для прывілеяваных карыстальнікаў. Тэст на ўжо працуючым працоўным стале не правярае ніводнай часткі важнага шляху коду, што тлумачыць большасць паведамленняў пра выпраўленне, якое трымалася да наступнай перазагрузкі. Затым прайдзіце чатыры крокі ў гэтым парадку.

1. Пацвердзіце, што прылада можа знайсці кантролер дамена да таго, як хто-небудзь увойдзе, з дапамогай nltest /dsgetdc:corp.example.com.
2. Паспрабуйце ўваход у дамен, затым спытайце, ці быў атрыманы білет наогул, з дапамогай klist.
3. Прачытайце журнал аўтэнтыфікацыі, які запісвае прылада, дзвюма камандамі вышэй, і адзначце пакет і ўмову збою.
4. Пацвердзіце, што ўзгоднены рэзервовы ўліковы запіс усё яшчэ працуе з экрана ўваходу, бо гэта адзіны шлях назад, калі тэст мяжы не ўдасца.

Адкрыццё агульнага рэсурсу з прадастаўленымі ўліковымі данымі таксама не стварае аўтаномнага інтэрактыўнага ўваходу, таму яно не замяняе ніводнага кроку вышэй. Калі арганізацыі сапраўды патрэбны ўваход без падключэння, адказ — сумяшчальны дызайн уліковага запісу і канцавой прылады, абраны свядома. Выключэнне ўліковага запісу з групы або захаванне аднаго неабмежаванага аварыйнага ўваходу на кожным ноўтбуку — гэта рашэнне палітыкі ідэнтычнасці, якое змена VPN не можа прыняць за вас.

Дакументацыя Protected Users апісвае і паводзіны верыфікатара, і абмежаванні дамена, ад якіх залежыць гэты дызайн. Плануйце працэс аднаўлення да таго, як хто-небудзь адправіцца ў паездку, бо тэст халоднай загрузкі — адзінае месца, дзе ён правяраецца.