Warum ein Protected-Users-Laptop die VPN vor der Anmeldung braucht

Ein Laptop, ein funktionierendes Konto und ein Hotelnetz ergeben zusammen eine Anmeldeschleife, die kein noch so häufiger Neuversuch durchbricht. Das Konto liegt in Protected Users, was Windows daran hindert, den Verifizierer zu speichern, den es zur Offline-Authentifizierung des Benutzers bräuchte. Jeder Plan der Form „erst anmelden, danach den Tunnel verbinden“ hat die Reihenfolge umgedreht, und der Schutz tut genau das, was er verspricht. Das Folgende setzt ein traditionelles Active-Directory-Konto auf einem unterstützten Windows-Host voraus.

Was der Schutz tatsächlich entfernt

Normalerweise speichert Windows einen Verifizierer zwischen, damit sich ein Domänenkonto anmelden kann, während ein Domänencontroller nicht erreichbar ist. Protected Users blockiert das für das Konto, was die Offline-Domänenanmeldung als Möglichkeit entfernt, statt sie unzuverlässig zu machen.

Das ist nicht das gewöhnliche Problem eines veralteten Zwischenspeichers, und die üblichen Gegenmittel greifen nicht. Wiederholte Online-Anmeldung, eine weitere Passwortänderung oder eine höhere Grenze für zwischengespeicherte Anmeldungen stellen die Fähigkeit nicht wieder her, weil keine dieser Aktionen den Verifizierer erzeugt, dessen Speicherung die Richtlinie verweigert. Das Konto verhält sich wie vorgesehen, und das Design setzt voraus, dass das Netz vorhanden ist, wenn Windows danach fragt. Das Symptom als Zwischenspeicherfehler zu behandeln, ist der Weg, auf dem Teams ein Profil neu aufbauen, das nie kaputt war.

Warum der Tunnel vor dem Desktop bestehen muss

Das Gerät muss die Domänenauthentifizierung in dem Moment erreichen, in dem Windows sie verlangt, und das ist vor jeder Benutzersitzung. Ein VPN-Client, der erst startet, nachdem der Desktop erscheint, lässt eine frische Anmeldung auf einen Weg warten, der nie ankommt. Die Abhängigkeit gehört zum Rechner, nicht zu einem Benutzer, der sich noch nicht angemeldet hat.

Verwenden Sie eine unterstützte Voranmeldungs-Lösung, die mit den Endpunkt- und Identitätsverantwortlichen abgestimmt ist. Ein Always On VPN-Gerätetunnel, der mit einem Computerzertifikat authentifiziert wird, kommt infrage, wenn das verwaltete Gerät die Voraussetzungen dieser Bereitstellung erfüllt. Die unterstützte Anmeldebildschirm-Integration eines Anbieters ist eine weitere. Ein gewöhnliches Benutzerprofil mit automatischem Auslöser ist keines von beiden, so ähnlich es in der Client-Oberfläche auch aussieht.

Dieser Weg braucht Namensauflösung für die Domäne, einen erreichbaren Domänencontroller und die Authentifizierungsprotokolle, die das Konto verwenden darf, und nichts davon liefert eine Anzeige „verbunden“. Seine Routen und Filter sollten die Identitätsdienste tragen und sonst nichts Unnötiges, denn diese Präfixliste ist die Angriffsfläche, die ein gestohlener Laptop bekommt, bevor sich jemand anmeldet. Split-Tunnel-Entscheidungen für den Benutzertunnel gelten nicht für den Gerätetunnel, prüfen Sie beide getrennt.

Erreichbarkeit ist keine Authentifizierungskompatibilität

Ein Tunnel kann Pakete einwandfrei befördern, während die Domänenauthentifizierung scheitert, weil der versuchte Mechanismus einer ist, den das Konto nicht verwenden darf. In einer Domäne, die die Einschränkungen der Gruppe durchsetzt, steht NTLM Mitgliedern nicht zur Verfügung, und Kerberos braucht ein AES-kompatibles Konto und eine entsprechende Konfiguration. Ein Paketweg kann keines von beidem reparieren. Deshalb ist ein sauberer Ping zu einem Domänencontroller kein Beweis, dass die Anmeldung funktioniert.

Es können auch zwei Anmeldeinformationssysteme im Spiel sein. Die VPN kann sich gegen einen Identitätsanbieter authentifizieren, während Windows getrennt eine Domänenanmeldung braucht, und die Annahme durch das erste sagt nichts über das zweite. „Die VPN ist verbunden“ und „der Benutzer ist angemeldet“ sind getrennte Beobachtungen, und das eine zu beheben bedeutet nicht das andere.

Lesen Sie die Authentifizierungsnachweise

Sammeln Sie Ereignisse vom Client und von einem Domänencontroller für denselben Versuch, nicht nur von einer Seite. Die Protected Users-Protokolle liegen unter Applications and Services Logs\Microsoft\Windows\Authentication, und ein Administrator muss ein Protokoll möglicherweise erst einschalten, bevor es etwas aufzeichnet. Korrelieren Sie die Zeitstempel mit dem Verbindungsprotokoll des Tunnels selbst, denn ein Reihenfolgefehler sieht von beiden Seiten wie ein Anmeldefehler aus.

Der erste Befehl unten listet jedes Authentifizierungsprotokoll auf, das das Gerät bereitstellt, sodass Sie das lesen, das existiert, statt das, das ein Blogbeitrag genannt hat. Der zweite liest aktuelle Einträge, sobald Sie den Namen kennen. Suchen Sie das Authentifizierungspaket, das Konto und die Fehlerbedingung, denn ein fehlender Netzweg und ein abgelehnter Mechanismus hinterlassen unterschiedliche Nachweise, und nur einer davon ist ein VPN-Problem. Wenn der Tunnel erst nach dem Versuch hochkam, war die Reihenfolge falsch, egal was diese Einträge sagen.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Beweisen Sie die Grenze aus einem Kaltstart

Führen Sie den Test aus einem abgemeldeten oder frisch gestarteten Zustand mit einem eingeschränkten Konto aus, und halten Sie einen freigegebenen Wiederherstellungsweg offen, bevor Sie etwas für privilegierte Benutzer ändern. Ein Test auf einem bereits laufenden Desktop durchläuft keinen Teil des relevanten Codepfads, was die meisten Berichte über eine Korrektur erklärt, die bis zum nächsten Neustart hielt. Arbeiten Sie dann die vier Schritte in dieser Reihenfolge ab.

1. Bestätigen Sie mit nltest /dsgetdc:corp.example.com, dass das Gerät einen Domänencontroller findet, bevor sich jemand anmeldet.
2. Versuchen Sie die Domänenanmeldung und fragen Sie dann mit klist, ob überhaupt ein Ticket bezogen wurde.
3. Lesen Sie das Authentifizierungsprotokoll, das das Gerät aufzeichnet, mit den beiden Befehlen oben, und notieren Sie das Paket und die Fehlerbedingung.
4. Bestätigen Sie, dass die freigegebene Wiederherstellungsanmeldung vom Anmeldebildschirm aus noch funktioniert, denn sie ist der einzige Weg zurück, wenn der Grenztest scheitert.

Eine Dateifreigabe mit übergebenen Anmeldeinformationen zu öffnen, erzeugt ebenfalls keine offline interaktive Anmeldung, ersetzt also keinen der Schritte oben. Wenn die Organisation wirklich eine Anmeldung ohne Verbindung braucht, ist die Antwort ein kompatibles Konto- und Endpunktdesign, das bewusst gewählt wurde. Das Konto aus der Gruppe zu nehmen oder auf jedem Laptop eine unbeschränkte Notfallanmeldung zu behalten, ist eine identitätspolitische Entscheidung, die eine VPN-Änderung nicht für Sie treffen kann.

Die Dokumentation zu Protected Users beschreibt sowohl das Verhalten des Verifizierers als auch die Domänenbeschränkungen, von denen dieses Design abhängt. Planen Sie den Wiederherstellungsprozess, bevor jemand reist, denn der Kaltstart-Test ist der einzige Ort, an dem er geübt wird.