Pam mae gliniadur Protected Users angen y VPN cyn mewngofnodi

Mae gliniadur, cyfrif gweithredol a rhwydwaith gwesty yn cyfuno’n gylch mewngofnodi nad yw unrhyw faint o ailgynnig yn ei dorri. Mae’r cyfrif yn Protected Users, sy’n atal Windows rhag storio’r gwiriwr y byddai ei angen i ddilysu’r defnyddiwr all-lein. Mae unrhyw gynllun o’r ffurf „mewngofnodwch yn gyntaf, cysylltwch y twnnel wedyn“ â’r drefn wyneb i waered, ac mae’r amddiffyniad yn gwneud yn union yr hyn y mae’n ei addo. Mae’r hyn sy’n dilyn yn tybio cyfrif Active Directory traddodiadol ar westeiwr Windows a gefnogir.

Beth mae’r amddiffyniad yn ei dynnu mewn gwirionedd

Yn arferol mae Windows yn cadw gwiriwr mewn storfa dros dro fel y gall cyfrif parth fewngofnodi tra bo rheolydd y parth yn un na ellir ei gyrraedd. Mae Protected Users yn atal hynny ar gyfer y cyfrif, sy’n dileu mewngofnodi parth all-lein fel posibilrwydd yn lle ei wneud yn annibynadwy.

Nid problem storfa dros dro hen ffasiwn yw hon, ac nid yw’r meddyginiaethau arferol yn berthnasol. Ni fydd mewngofnodi ar-lein dro ar ôl tro, newid y cyfrinair eto na chodi’r cyfrif mewngofnodi a gedwir yn adfer y gallu, oherwydd nid oes unrhyw un o’r gweithredoedd hynny yn creu’r gwiriwr y mae’r polisi yn gwrthod ei storio. Mae’r cyfrif yn ymddwyn fel y’i cynlluniwyd, ac mae’r cynllun yn tybio bod y rhwydwaith yn bresennol pan fo Windows yn gofyn. Triniaeth y symptom fel nam storfa dros dro yw sut mae timau’n ailadeiladu proffil nad oedd erioed wedi torri.

Pam mae’n rhaid i’r twnnel fodoli cyn y bwrdd gwaith

Rhaid i’r ddyfais gyrraedd dilysu parth ar yr eiliad y mae Windows yn gofyn amdano, sef cyn bod unrhyw sesiwn defnyddiwr yn bodoli. Mae cleient VPN sy’n cychwyn dim ond ar ôl i’r bwrdd gwaith ymddangos yn gadael mewngofnodi ffres yn aros am lwybr na ddaw byth. Mae’r ddibyniaeth yn perthyn i’r peiriant, nid i ddefnyddiwr sydd heb fewngofnodi eto.

Defnyddiwch drefniant cyn-mewngofnodi a gefnogir ac a gytunwyd â pherchnogion y pen draw a hunaniaeth. Mae twnnel dyfais Always On VPN a ddilysir â thystysgrif cyfrifiadur yn gymwys pan fo’r ddyfais a reolir yn bodloni rhagofynion y defnydd hwnnw. Mae integreiddiad sgrin mewngofnodi a gefnogir gan werthwr yn un arall. Nid yw proffil defnyddiwr cyffredin â sbardun awtomatig yn y naill na’r llall, waeth pa mor debyg y mae’n edrych yn rhyngwyneb y cleient.

Yr hyn sydd ei angen ar y llwybr hwnnw yw datrysiad enwau ar gyfer y parth, rheolydd parth y gellir ei gyrraedd a pha bynnag brotocolau dilysu y caiff y cyfrif eu defnyddio, ac nid yw dangosydd „cysylltiedig“ yn darparu’r un ohonynt. Dylai ei lwybrau a’i hidlwyr gario’r gwasanaethau hunaniaeth a dim arall nad yw’n angenrheidiol, oherwydd y rhestr ragddodiadau honno yw’r wyneb y mae gliniadur a ddwynwyd yn ei gael cyn i unrhyw un fewngofnodi. Nid yw penderfyniadau twnnel hollt a wneir ar gyfer twnnel y defnyddiwr yn trosglwyddo i dwnnel y ddyfais, felly adolygwch y ddau ar wahân.

Nid yw cyrhaeddedd yn gydweddoldeb dilysu

Gall twnnel gludo pecynnau’n berffaith tra bo dilysu parth yn methu, oherwydd y mecanwaith a geisir yw un na chaiff y cyfrif ei ddefnyddio. Mewn parth sy’n gorfodi cyfyngiadau’r grŵp, nid yw NTLM ar gael i aelodau ac mae Kerberos angen cyfrif a chyfluniad sy’n gydnaws ag AES. Ni all llwybr pecynnau drwsio’r naill na’r llall. Dyna pam nad yw ping glân i reolydd parth yn dystiolaeth y bydd mewngofnodi’n gweithio.

Gall dau system credyd fod ar waith hefyd. Gall y VPN ddilysu yn erbyn darparwr hunaniaeth tra bo Windows ar wahân angen mewngofnodi parth, ac nid yw derbyniad y cyntaf yn dweud dim am yr ail. Mae „cysylltodd y VPN“ a „mewngofnododd y defnyddiwr“ yn arsylwadau ar wahân, ac nid yw trwsio’r naill yn awgrymu’r llall.

Darllenwch y dystiolaeth ddilysu

Casglwch ddigwyddiadau o’r cleient ac o reolydd parth ar gyfer yr un ymgais, yn hytrach nag o un ochr yn unig. Mae cofnodion Protected Users o dan Applications and Services Logs\Microsoft\Windows\Authentication, ac efallai y bydd rhaid i weinyddwr droi cofnod ymlaen cyn iddo gofnodi unrhyw beth. Cydberthynwch y stampiau amser â chofnod cysylltiad y twnnel ei hun, oherwydd mae camgymeriad trefn yn edrych fel nam credyd o’r naill ochr neu’r llall.

Mae’r gorchymyn cyntaf isod yn rhestru pob cofnod dilysu y mae’r ddyfais yn ei ddatgelu, felly darllenwch yr un sy’n bodoli yn hytrach nag un a enwyd mewn post blog. Mae’r ail yn darllen cofnodion diweddar ar ôl i chi wybod yr enw. Chwiliwch am y pecyn dilysu, y cyfrif a’r amod methiant, oherwydd mae llwybr rhwydwaith ar goll a mecanwaith a wrthodwyd yn gadael tystiolaeth wahanol a dim ond un ohonynt yn broblem VPN. Os cododd y twnnel ar ôl yr ymgais, roedd y drefn yn anghywir beth bynnag a ddywed y cofnodion hynny.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Profwch y ffin o gychwyn oer

Rhedwch y prawf o gyflwr wedi allgofnodi neu newydd gychwyn gyda chyfrif cyfyngedig, a chedwch lwybr adferiad a gymeradwywyd yn agored cyn newid unrhyw beth i ddefnyddwyr breintiedig. Nid yw prawf ar fwrdd gwaith sy’n rhedeg yn barod yn ymarfer unrhyw ran o’r llwybr cod sy’n bwysig, a dyna sy’n esbonio’r rhan fwyaf o adroddiadau am atgyweiriad a barhaodd hyd yr ailgychwyn nesaf. Yna ewch drwy’r pedwar cam yn y drefn hon.

1. Cadarnhewch y gall y ddyfais ganfod rheolydd parth cyn i unrhyw un fewngofnodi, gyda nltest /dsgetdc:corp.example.com.
2. Ceisiwch fewngofnodi i’r parth, yna gofynnwch a gafwyd tocyn o gwbl, gyda klist.
3. Darllenwch y cofnod dilysu y mae’r ddyfais yn ei recordio, gyda’r ddau orchymyn uchod, a nodwch y pecyn a’r amod methiant.
4. Cadarnhewch fod y credyd adferiad a gymeradwywyd yn dal i weithio o’r sgrin fewngofnodi, oherwydd dyna’r unig ffordd yn ôl os yw prawf y ffin yn methu.

Nid yw agor rhaniad ffeil â chredydau a ddarparwyd yn creu mewngofnodi rhyngweithiol all-lein chwaith, felly nid yw’n cymryd lle unrhyw gam uchod. Os oes gwir angen mewngofnodi datgysylltiedig ar y sefydliad, yr ateb yw cynllun cyfrif a phen draw cydnaws a ddewiswyd yn fwriadol. Mae tynnu’r cyfrif o’r grŵp, neu gadw un mewngofnodi brys heb gyfyngiad ar bob gliniadur, yn benderfyniad polisi hunaniaeth na all newid VPN ei wneud ar eich rhan.

Mae dogfennaeth Protected Users yn disgrifio’r naill ymddygiad y gwiriwr a’r cyfyngiadau parth y mae’r cynllun hwn yn dibynnu arnynt. Cynlluniwch y broses adferiad cyn i unrhyw un deithio, oherwydd y prawf cychwyn oer yw’r unig le y caiff ei ymarfer.