Γιατί ένα φορητό με Protected Users χρειάζεται το VPN πριν από τη σύνδεση

Ένας φορητός υπολογιστής, ένας λειτουργικός λογαριασμός και ένα δίκτυο ξενοδοχείου συνθέτουν έναν βρόχο σύνδεσης που καμία επανάληψη δεν σπάει. Ο λογαριασμός βρίσκεται στο Protected Users, το οποίο εμποδίζει τα Windows να αποθηκεύσουν τον επαληθευτή που θα χρειάζονταν για να πιστοποιήσουν τον χρήστη χωρίς σύνδεση. Κάθε σχέδιο του τύπου «συνδεθείτε πρώτα, μετά συνδέστε τη δίοδο» έχει ανεστραμμένη σειρά, και η προστασία κάνει ακριβώς αυτό που υπόσχεται. Τα επόμενα προϋποθέτουν παραδοσιακό λογαριασμό Active Directory σε υποστηριζόμενο σύστημα Windows.

Τι αφαιρεί στην πραγματικότητα η προστασία

Συνήθως τα Windows αποθηκεύουν προσωρινά έναν επαληθευτή ώστε ένας λογαριασμός τομέα να μπορεί να συνδεθεί όταν ο ελεγκτής τομέα είναι απρόσιτος. Το Protected Users το μπλοκάρει για τον λογαριασμό, γεγονός που αφαιρεί τη σύνδεση τομέα χωρίς σύνδεση ως δυνατότητα αντί να την κάνει αναξιόπιστη.

Δεν είναι το συνηθισμένο πρόβλημα παρωχημένης προσωρινής μνήμης, και τα συνηθισμένα μέτρα δεν ισχύουν. Η επανειλημμένη σύνδεση σε απευθείας σύνδεση, μια ακόμη αλλαγή κωδικού πρόσβασης ή η αύξηση του ορίου αποθηκευμένων συνδέσεων δεν θα επαναφέρουν τη δυνατότητα, γιατί καμία από αυτές τις ενέργειες δεν δημιουργεί τον επαληθευτή που η πολιτική αρνείται να αποθηκεύσει. Ο λογαριασμός συμπεριφέρεται όπως σχεδιάστηκε, και ο σχεδιασμός προϋποθέτει ότι το δίκτυο υπάρχει όταν τα Windows το ζητούν. Το να αντιμετωπίζεται το σύμπτωμα ως βλάβη προσωρινής μνήμης είναι ο τρόπος με τον οποίο οι ομάδες ξαναχτίζουν προφίλ που δεν ήταν ποτέ χαλασμένο.

Γιατί η δίοδος πρέπει να υπάρχει πριν από την επιφάνεια εργασίας

Η συσκευή πρέπει να φτάσει στην πιστοποίηση τομέα τη στιγμή που τα Windows το ζητούν, και αυτό είναι πριν υπάρξει οποιαδήποτε συνεδρία χρήστη. Ένας πελάτης VPN που ξεκινά μόνο αφού εμφανιστεί η επιφάνεια εργασίας αφήνει μια νέα σύνδεση να περιμένει μια διαδρομή που δεν φτάνει ποτέ. Η εξάρτηση ανήκει στο μηχάνημα, όχι σε χρήστη που δεν έχει συνδεθεί ακόμη.

Χρησιμοποιήστε μια υποστηριζόμενη διάταξη σύνδεσης πριν από τη σύνδεση, συμφωνημένη με τους υπεύθυνους τελικών σημείων και ταυτότητας. Μια δίοδος συσκευής Always On VPN με πιστοποίηση πιστοποιητικού υπολογιστή πληροί την προϋπόθεση όταν η διαχειριζόμενη συσκευή ικανοποιεί τις απαιτήσεις αυτής της ανάπτυξης. Μια υποστηριζόμενη ενσωμάτωση προμηθευτή στην οθόνη σύνδεσης είναι άλλη επιλογή. Ένα συνηθισμένο προφίλ χρήστη με αυτόματη ενεργοποίηση δεν είναι κανένα από τα δύο, όσο παρόμοιο κι αν φαίνεται στη διεπαφή του πελάτη.

Αυτή η διαδρομή χρειάζεται επίλυση ονομάτων για τον τομέα, έναν προσβάσιμο ελεγκτή τομέα και τα πρωτόκολλα πιστοποίησης που επιτρέπεται να χρησιμοποιεί ο λογαριασμός, και καμία ένδειξη «συνδεδεμένο» δεν παρέχει τίποτα από αυτά. Οι διαδρομές και τα φίλτρα της πρέπει να μεταφέρουν τις υπηρεσίες ταυτότητας και τίποτα άλλο μη απαραίτητο, γιατί αυτή η λίστα προθεμάτων είναι η επιφάνεια που αποκτά ένα κλεμμένο φορητό πριν συνδεθεί κανείς. Οι αποφάσεις διαχωρισμένης διόδου για τη δίοδο χρήστη δεν μεταφέρονται στη δίοδο συσκευής, οπότε εξετάστε τις δύο χωριστά.

Η προσβασιμότητα δεν είναι συμβατότητα πιστοποίησης

Μια δίοδος μπορεί να μεταφέρει πακέτα άψογα ενώ η πιστοποίηση τομέα αποτυγχάνει, γιατί ο μηχανισμός που δοκιμάζεται είναι ένας που ο λογαριασμός δεν επιτρέπεται να χρησιμοποιήσει. Σε τομέα που επιβάλλει τους περιορισμούς της ομάδας, το NTLM δεν είναι διαθέσιμο στα μέλη και το Kerberos απαιτεί λογαριασμό και διαμόρφωση συμβατά με AES. Μια διαδρομή πακέτων δεν μπορεί να διορθώσει κανένα από τα δύο. Γι’ αυτό ένα καθαρό ping σε ελεγκτή τομέα δεν είναι απόδειξη ότι η σύνδεση θα λειτουργήσει.

Μπορεί επίσης να εμπλέκονται δύο συστήματα διαπιστευτηρίων. Το VPN μπορεί να πιστοποιείται σε πάροχο ταυτότητας ενώ τα Windows χρειάζονται χωριστά σύνδεση τομέα, και η αποδοχή από το πρώτο δεν λέει τίποτα για το δεύτερο. Το «το VPN συνδέθηκε» και «ο χρήστης έχει συνδεθεί» είναι ξεχωριστές παρατηρήσεις, και η διόρθωση της μίας δεν συνεπάγεται την άλλη.

Διαβάστε τα στοιχεία πιστοποίησης

Συλλέξτε συμβάντα από τον πελάτη και από έναν ελεγκτή τομέα για την ίδια απόπειρα, όχι μόνο από τη μία πλευρά. Τα αρχεία καταγραφής του Protected Users βρίσκονται κάτω από Applications and Services Logs\Microsoft\Windows\Authentication, και ένας διαχειριστής μπορεί να χρειαστεί να ενεργοποιήσει ένα αρχείο πριν καταγράψει οτιδήποτε. Συσχετίστε τις χρονικές σημάνσεις με το αρχείο σύνδεσης της ίδιας της διόδου, γιατί ένα λάθος σειράς μοιάζει με βλάβη διαπιστευτηρίων και από τις δύο πλευρές.

Η πρώτη εντολή παρακάτω απαριθμεί κάθε αρχείο καταγραφής πιστοποίησης που εκθέτει η συσκευή, ώστε να διαβάσετε αυτό που υπάρχει και όχι αυτό που ανέφερε μια ανάρτηση ιστολογίου. Η δεύτερη διαβάζει πρόσφατες εγγραφές όταν ξέρετε το όνομα. Αναζητήστε το πακέτο πιστοποίησης, τον λογαριασμό και τη συνθήκη αποτυχίας, γιατί μια απούσα διαδρομή δικτύου και ένας απορριφθείς μηχανισμός αφήνουν διαφορετικά στοιχεία και μόνο ένα από αυτά είναι πρόβλημα VPN. Αν η δίοδος ανέβηκε μετά την απόπειρα, η σειρά ήταν λάθος ό,τι κι αν λένε αυτές οι εγγραφές.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Αποδείξτε το όριο από ψυχρή εκκίνηση

Εκτελέστε τη δοκιμή από αποσυνδεδεμένη ή μόλις εκκινημένη κατάσταση με περιορισμένο λογαριασμό, και κρατήστε ανοιχτή μια εγκεκριμένη διαδρομή ανάκτησης πριν αλλάξετε οτιδήποτε για προνομιούχους χρήστες. Μια δοκιμή σε επιφάνεια εργασίας που ήδη εκτελείται δεν ασκεί κανένα τμήμα της κρίσιμης διαδρομής κώδικα, και αυτό εξηγεί τις περισσότερες αναφορές για μια διόρθωση που άντεξε μέχρι την επόμενη επανεκκίνηση. Στη συνέχεια περάστε τα τέσσερα βήματα με αυτή τη σειρά.

1. Επιβεβαιώστε ότι η συσκευή μπορεί να βρει ελεγκτή τομέα πριν συνδεθεί κανείς, με nltest /dsgetdc:corp.example.com.
2. Δοκιμάστε τη σύνδεση τομέα και μετά ρωτήστε αν αποκτήθηκε καθόλου εισιτήριο, με klist.
3. Διαβάστε το αρχείο καταγραφής πιστοποίησης που καταγράφει η συσκευή, με τις δύο εντολές παραπάνω, και σημειώστε το πακέτο και τη συνθήκη αποτυχίας.
4. Επιβεβαιώστε ότι το εγκεκριμένο εφεδρικό διαπιστευτήριο λειτουργεί ακόμη από την οθόνη σύνδεσης, γιατί είναι ο μόνος δρόμος επιστροφής αν η δοκιμή ορίου αποτύχει.

Το άνοιγμα κοινόχρηστου φακέλου με παρεχόμενα διαπιστευτήρια επίσης δεν δημιουργεί διαδραστική σύνδεση χωρίς σύνδεση, οπότε δεν υποκαθιστά κανένα βήμα παραπάνω. Αν ο οργανισμός χρειάζεται πραγματικά σύνδεση χωρίς δίκτυο, η απάντηση είναι ένα συμβατό σχέδιο λογαριασμού και τελικών σημείων που επιλέχθηκε σκόπιμα. Το να βγει ο λογαριασμός από την ομάδα, ή να κρατηθεί μία απεριόριστη σύνδεση ανάγκης σε κάθε φορητό, είναι απόφαση πολιτικής ταυτότητας που μια αλλαγή VPN δεν μπορεί να πάρει για εσάς.

Η τεκμηρίωση του Protected Users περιγράφει και τη συμπεριφορά του επαληθευτή και τους περιορισμούς τομέα από τους οποίους εξαρτάται αυτός ο σχεδιασμός. Σχεδιάστε τη διαδικασία ανάκτησης πριν ταξιδέψει κανείς, γιατί η δοκιμή ψυχρής εκκίνησης είναι το μόνο σημείο όπου ασκείται.