কেন ডোমেইন ল্যাপটপ অফলাইনে পুরোনো পাসওয়ার্ড গ্রহণ করে

পাসওয়ার্ড পরিবর্তন একসাথে সব জায়গায় পৌঁছে যায়, শুধু সেই একটি ল্যাপটপ ছাড়া যা এক সপ্তাহ ধরে অফলাইনে ছিল। ওয়েবমেইল নতুন পাসওয়ার্ড নেয়, অফিসের একটি ডেস্কটপ তা নেয়, আর দূরের মেশিনটি VPN বন্ধ থাকলে এখনও পুরোনো পাসওয়ার্ড দিয়েই সাইন ইন করে। এটি দ্বিতীয় কোনো পাসওয়ার্ড নয়, ডিরেক্টরির সিঙ্ক্রোনাইজেশন বাগও নয়। এটি ক্যাশে করা লগঅন ভেরিফায়ার তার জন্যই কাজ করছে যার জন্য এটি তৈরি, আর সমাধান হলো একটি ধারাবাহিক প্রক্রিয়া, রিসেট নয়।

ল্যাপটপটি একটি ক্যাশে করা ভেরিফায়ার যাচাই করছে

ডোমেইন-জয়েন করা Windows সাম্প্রতিক সফল ইন্টারঅ্যাকটিভ লগঅনের জন্য স্থানীয় ভেরিফায়ার রাখে, যাতে কোনো ডোমেইন কন্ট্রোলার সাড়া না দিলেও মেশিনটি চালু হতে পারে। সেই ভেরিফায়ারটি ওই লগঅনের সময়কার পাসওয়ার্ড থেকে তৈরি হয়। অন্য জায়গায় পাসওয়ার্ড পরিবর্তন করলে ডিরেক্টরি আপডেট হয়, কিন্তু যে ল্যাপটপ এরপর তার সঙ্গে কথা বলেনি, তার কপি আপডেট হয় না।

তাই পুরোনো পাসওয়ার্ড এখনও স্থানীয় সেশন খুলতে পারে, যদিও নতুন কোনো ডোমেইন প্রমাণীকরণের জন্য এটি অকার্যকর। এগুলো দুটি আলাদা পর্যবেক্ষণ, আর এদের মিশিয়ে ফেললে বারবার রিসেট করতে হয়।

অন্য কিছু বদলানোর আগে নিশ্চিত করুন আসলে কোন ক্রেডেনশিয়াল ব্যবহৃত হচ্ছে। Windows Hello PIN, Entra ID সাইন-ইন এবং প্রচলিত ডোমেইন পাসওয়ার্ড আলাদা প্রক্রিয়া, আর PIN বিশেষভাবে ডোমেইন পাসওয়ার্ড নয়, যদিও এটি একই ডেস্কটপ আনলক করে।

নেটওয়ার্ক প্রমাণীকরণ মানে ইন্টারঅ্যাকটিভ লগঅন নয়

নতুন পাসওয়ার্ড দিয়ে ফাইল শেয়ার খোলা প্রমাণ করে নেটওয়ার্ক পথ কাজ করছে। কিন্তু এটি ইন্টারঅ্যাকটিভ লগঅন ক্যাশে রিফ্রেশ করে না, কারণ Windows নেটওয়ার্ক ও ইন্টারঅ্যাকটিভ প্রমাণীকরণকে আলাদা অবস্থাসহ আলাদা কাজ হিসেবে দেখে।

ভেরিফায়ার কেবল তখনই রিফ্রেশ হয় যখন কোনো ইন্টারঅ্যাকটিভ লগঅন সত্যিই ডোমেইন কন্ট্রোলারের সঙ্গে যোগাযোগ করে; ম্যাপ করা ড্রাইভ বা Outlook প্রম্পট তা করে না।

এই পার্থক্যই সাধারণ অভিযোগটি ব্যাখ্যা করে: ব্যবহারকারী মেইল পড়তে ও ইন্ট্রানেট খুলতে পারেন, তবু লক স্ক্রিন এখনও পুরোনো পাসওয়ার্ড চায়। এটি এটিও ব্যাখ্যা করে কেন সাইন-ইনের পরে চালু করা VPN প্রাথমিক লগঅনে সাহায্য করতে পারে না, কারণ টানেল আসে তখন, যখন সিদ্ধান্ত স্থানীয়ভাবে হয়ে গেছে।

সঠিক সময়ে একটি অনলাইন সাইন-ইন নিন

ডোমেইন পৌঁছানো অবস্থায় ব্যবহারকারী ইন্টারঅ্যাকটিভভাবে সাইন ইন করলে ক্যাশে রিফ্রেশ হয়। দূরের মেশিনের ক্ষেত্রে এর অর্থ হলো টানেলটি ক্রেডেনশিয়াল যাচাইয়ের আগেই থাকতে হবে, ডেস্কটপ দেখা যাওয়ার পরে নয়।

ডিপ্লয়মেন্টটি লগঅনের আগের সংযোগ বা ডিভাইস টানেল সমর্থন করে কি না দেখুন। এগুলো ঠিক এই সময়ের জন্য তৈরি, আর ব্যবহারকারী টানেল এর বিকল্প নয়:

nltest /dsgetdc:corp.example
klist

এন্ডপয়েন্টে লগঅনের আগের কোনো পথ না থাকলে সংস্থা যে সমর্থিত পুনরুদ্ধার প্রক্রিয়া নথিভুক্ত করেছে তা ব্যবহার করুন। কিছু পরিবেশে টানেল লক স্ক্রিনে খোলা রেখে সংযোগ, লক ও আনলক করার ধারাবাহিকতা ব্যবহার করা হয়; অন্যরা ডিভাইসটিকে একটি ব্যবস্থাপিত পুনরুদ্ধার ধাপে পাঠায়। ক্লায়েন্টের সঙ্গে যেটি মেলে সেটিই অনুসরণ করুন, আর এর উপর নির্ভর করার আগে নিশ্চিত করুন টানেলটি লক স্ক্রিন পেরিয়ে টিকে থাকে।

ফিরে আসার পথ রক্ষা করুন

দূরের মেশিন থেকে সাইন আউট করার আগে ঠিক করুন পরের সাইন-ইন কীভাবে ডোমেইনে পৌঁছাবে। সেশনের সঙ্গে পড়ে যাওয়া ব্যবহারকারী টানেল আপনার ভরসার একমাত্র পথটি সরিয়ে দিতে পারে, আর তখন পুরোনো বা নতুন কোনও পাসওয়ার্ডই লক স্ক্রিন পেরোতে দেবে না। বিকল্প হিসেবে স্থানীয় প্রশাসনিক অ্যাকাউন্ট বা আউট-অব-ব্যান্ড কনসোল রাখুন। পুনরুদ্ধারের ধাপটি এমন জায়গায় লিখুন যেখানে ব্যবহারকারী সাইন ইন না করেই পৌঁছাতে পারেন।

সহায়তার জন্য চারটি তথ্য সংগ্রহ করুন: পাসওয়ার্ড কোথায় বদলেছে, কোন ক্রেডেনশিয়াল এখনও অফলাইনে কাজ করে, টানেল দিয়ে ডোমেইন কন্ট্রোলারে পৌঁছানো যায় কি না, এবং ল্যাপটপ কোন সাইন-ইন পদ্ধতি ব্যবহার করে।

এই চারটি বাসি ভেরিফায়ারকে অ্যাকাউন্ট লকআউট বা প্রত্যাখ্যাত VPN সাইন-ইন থেকে আলাদা করে, যেগুলো টিকিটে একই রকম দেখায় কিন্তু সমাধান আলাদা। লক করা অ্যাকাউন্ট অনলাইনেও নতুন পাসওয়ার্ড প্রত্যাখ্যান করবে, তাই ক্যাশেকে দোষ দেওয়ার আগে সেটি পরীক্ষা করুন।

একটি অনলাইন সাইন-ইনে চক্রটি বন্ধ করুন

লক্ষ্য হলো ডোমেইন পৌঁছানো অবস্থায় একটি সমর্থিত ইন্টারঅ্যাকটিভ সাইন-ইন, তারপর একটি জানা অফলাইন অবস্থা। সেই একক ঘটনাই ভেরিফায়ার রিফ্রেশ করে এবং প্রতিটি ডিভাইসে পাসওয়ার্ড বদলের চক্র শেষ করে।

এরপর ক্যাশে করা লগঅন সংখ্যা ও ডোমেইন কন্ট্রোলার অনুসন্ধান দিয়ে অবস্থা যাচাই করুন:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

সংখ্যাটি শূন্য হলে নীতির কারণে ক্যাশে লগঅন বন্ধ, এবং পাসওয়ার্ড যতবারই রিসেট করা হোক অফলাইন আচরণ বদলাবে না। এটি মালিকের সঙ্গে তোলার মতো নীতি-সিদ্ধান্ত, স্থানীয়ভাবে প্রয়োগ করার কোনো ফাঁকি নয়।