Zergatik behar duen Protected Users-eko eramangarriak VPN-a saioa hasi aurretik

Ordenagailu eramangarri batek, kontu erabilgarri batek eta hotel-sare batek saio-hasierako begizta bat osatzen dute, eta berriro saiatzeak ez du hausten. Kontua Protected Users taldean dago, eta horrek Windowsi eragozten dio erabiltzailea lineaz kanpo autentifikatzeko beharko lukeen egiaztailea gordetzea. «Lehenengo hasi saioa, gero konektatu tunela» tankerako edozein planek ordena alderantzikatua du, eta babesak promesten duen zehazki egiten du. Hurrengoak Windows ostalari onartu batean Active Directory kontu tradizional bat suposatzen du.

Zer kentzen duen babesak benetan

Normalean Windowsek egiaztailea cachean gordetzen du domeinu-kontu batek saioa has dezan domeinu-kontrolatzailea eskuraezin den bitartean. Protected Users-ek hori blokeatzen du kontuarentzat, eta horrek lineaz kanpoko domeinu-saio-hasiera ezabatzen du aukera gisa, fidagarritasun gutxikoa bihurtu beharrean.

Ez da cache zaharkituaren ohiko arazoa, eta ohiko konponbideak ez dira aplikatzen. Errepikaturik linean saioa hasten, pasahitza berriz aldatzen edo cachean gordetako saio-kopurua igotzen ez du gaitasunak berreskuratuko, ekintza horietako batek ere ez baitu politikak gordetzeari ukatzen dion egiaztailea sortzen. Kontua diseinatuta dagoen bezala ari da jokatzen, eta diseinuak sareak han egon behar duela suposatzen du Windowsek eskatzen duenean. Sintoma cache-hutsegite gisa tratatzea da taldeek inoiz hondatu ez zen profil bat berreraikitzea eragiten duen bidea.

Zergatik egon behar du tunelak mahaigaina baino lehen

Gailuak domeinu-autentifikaziora iritsi behar du Windowsek eskatzen duen unean, eta hori edozein erabiltzaile-saio baino lehen da. Mahaigaina agertu ondoren soilik abiarazten den VPN bezero batek saio-hasiera berri bat uzten du inoiz iristen ez den bide baten zain. Mendekotasuna makinarena da, oraindik saioa hasi ez duen erabiltzailearena ez.

Erabili amaiera-puntuen eta identitatearen jabeekin adostutako saio-aurreko antolaketa onartu bat. Ordenagailu-ziurtagiri batekin autentifikatutako Always On VPN gailu-tunel bat egokia da gailu kudeatuak hedapen horren aurretiazko baldintzak betetzen dituenean. Hornitzaile baten saio-hasierako pantailako integrazio onartu bat da beste aukera bat. Abiarazle automatikoa duen erabiltzaile-profil arrunta ez da horietako bat ere, bezeroaren interfazean antzeko itxura izan arren.

Bide horri domeinurako izenen ebazpena, eskura dagoen domeinu-kontrolatzaile bat eta kontuak erabil ditzakeen autentifikazio-protokoloak behar zaizkio, eta «konektatuta» adierazleak ez du horietako ezer ematen. Bere bideek eta iragazkiek identitate-zerbitzuak eraman behar dituzte eta beharrezkoa ez den beste ezer ez, aurrizki-zerrenda hori lapurtutako ordenagailu batek inork saioa hasi aurretik lortzen duen gainazala baita. Erabiltzaile-tunelerako hartutako tunel zatituaren erabakiak ez dira gailu-tunelera igarotzen, beraz berrikusi biak bereizita.

Irisgarritasuna ez da autentifikazio-bateragarritasuna

Tunel batek paketeak ezin hobeto eraman ditzake domeinu-autentifikazioak huts egiten duen bitartean, saiatutako mekanismoa kontuak erabil dezakeenetako bat ez delako. Taldearen murrizketak betearazten dituen domeinu batean, NTLM ez dago erabilgarri kideentzat eta Kerberosek AES-ekin bateragarria den kontua eta konfigurazioa behar ditu. Pakete-bide batek ezin du bietako bat konpondu. Horregatik domeinu-kontrolatzaile batera ping garbi bat ez da saio-hasierak funtzionatuko duen froga.

Kredentzial-sistema bi ere egon daitezke jokoan. VPNa identitate-hornitzaile baten aurka autentifika daiteke Windowsek bereizita domeinu-saio-hasiera behar duen bitartean, eta lehenengoaren onarpenak ez du ezer esaten bigarrenari buruz. «VPNa konektatu da» eta «erabiltzaileak saioa hasi du» behaketa bereiziak dira, eta bat konpontzeak ez du bestea inplikatzen.

Irakurri autentifikazio-frogak

Bildu gertaerak bezeroarengandik eta domeinu-kontrolatzaile batetik saiakera bererako, ez alde batetik soilik. Protected Users-en erregistroak Applications and Services Logs\Microsoft\Windows\Authentication azpian daude, eta administratzaileak erregistro bat piztu behar izan dezake ezer erregistratu aurretik. Erlazionatu denbora-markak tunelaren beraren konexio-erregistroarekin, ordena-errore bat kredentzial-hutsegite gisa ikusten baita bi aldeetatik.

Beheko lehen komandoak gailuak erakusten duen autentifikazio-erregistro bakoitza zerrendatzen du, beraz existitzen dena irakurtzen duzu blog-post batek izendatutakoa eta ez. Bigarrenak sarrera berriak irakurtzen ditu izena dakizunean. Bilatu autentifikazio-paketea, kontua eta hutsegitearen baldintza, sare-bide galdu batek eta mekanismo baztertuek frogak desberdinak uzten baitituzte eta horietako bat bakarrik da VPN arazoa. Tunela saiakeraren ondoren jarri bada, ordena okerra zen sarrerek esaten dutena edozein dela ere.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Frogatu muga abio hotzetik

Egin proba saioa itxita edo berriki abiatutako egoeratik kontu mugatu batekin, eta eduki irekita onartutako berreskuratze-bide bat pribilegiatutako erabiltzaileentzat ezer aldatu aurretik. Dagoeneko martxan dagoen mahaigain batean egindako probak ez du axola duen kode-bidearen zatirik lantzen, eta horrek azaltzen ditu hurrengo berrabiarazteraino iraun zuen konponketa baten txosten gehienak. Gero egin lau urratsak ordena honetan.

1. Egiaztatu gailuak domeinu-kontrolatzaile bat aurki dezakeela inork saioa hasi aurretik, nltest /dsgetdc:corp.example.com erabiliz.
2. Saiatu domeinu-saioa, eta gero galdetu txartel bat lortu zen ala ez, klist erabiliz.
3. Irakurri gailuak erregistratzen duen autentifikazio-erregistroa, goiko bi komandoekin, eta idatzi paketea eta hutsegitearen baldintza.
4. Egiaztatu onartutako berreskuratze-kredentzialak oraindik funtzionatzen duela saio-hasierako pantailatik, muga-probak huts egiten badu itzultzeko bide bakarra baita.

Kredentzialak emanda fitxategi-partekatze bat irekitzeak ere ez du lineaz kanpoko saio interaktiborik sortzen, beraz ez du goiko urratsetako bat ordezkatzen. Erakundeak benetan konexiorik gabeko saio-hasiera behar badu, erantzuna nahita aukeratutako kontu eta amaiera-puntu diseinu bateragarria da. Kontua taldetik ateratzea, edo ordenagailu eramangarri bakoitzean mugarik gabeko larrialdi-saio bat edukitzea, VPN aldaketa batek zure ordez hartu ezin duen identitate-politikako erabakia da.

Protected Users dokumentazioak egiaztailearen portaera eta diseinu honek mendekoa duen domeinu-murrizketak deskribatzen ditu. Planifikatu berreskuratze-prozesua inork bidaiatu aurretik, abio hotzeko proba lantzen den leku bakarra baita.