Miksi Protected Users -kannettava tarvitsee VPN:n ennen kirjautumista

Kannettava tietokone, toimiva tili ja hotelliverkko muodostavat yhdessä kirjautumissilmukan, jota mikään uudelleenyritys ei katkaise. Tili on Protected Users -ryhmässä, mikä estää Windowsia tallentamasta vahvistinta, jota se tarvitsisi käyttäjän todentamiseen offline-tilassa. Jokaisessa suunnitelmassa, jonka muoto on »kirjaudu ensin sisään, yhdistä tunneli vasta sitten«, järjestys on väärinpäin, ja suojaus tekee täsmälleen sen, minkä lupaa. Seuraava olettaa perinteisen Active Directory -tilin tuetulla Windows-isännällä.

Mitä suojaus itse asiassa poistaa

Windows tallentaa tavallisesti vahvistimen välimuistiin, jotta toimialueen tili voi kirjautua sisään toimialueen ohjaimen ollessa tavoittamattomissa. Protected Users estää sen tilin osalta, mikä poistaa offline-toimialuekirjautumisen mahdollisuutena sen sijaan, että tekisi siitä epäluotettavaa.

Tämä ei ole tavallinen vanhentuneen välimuistin ongelma, eivätkä tavalliset keinot päde. Toistuva verkkokirjautuminen, uusi salasanan vaihto tai välimuistiin tallennettujen kirjautumisten määrän nostaminen ei palauta kykyä, koska mikään näistä toimista ei luo vahvistinta, jonka tallentamisesta käytäntö kieltäytyy. Tili käyttäytyy kuten on suunniteltu, ja suunnittelu olettaa, että verkko on läsnä, kun Windows sitä pyytää. Oireen käsitteleminen välimuistivikana on se tapa, jolla tiimit päätyvät rakentamaan uudelleen profiilia, joka ei ollut koskaan rikki.

Miksi tunnelin on oltava olemassa ennen työpöytää

Laitteen on päästävä toimialueen todentamiseen sillä hetkellä, kun Windows sitä pyytää, ja se on ennen kuin mitään käyttäjäistuntoa on olemassa. VPN-asiakas, joka käynnistyy vasta työpöydän ilmestyttyä, jättää tuoreen kirjautumisen odottamaan reittiä, joka ei koskaan saavu. Riippuvuus kuuluu koneelle, ei käyttäjälle, joka ei ole vielä kirjautunut sisään.

Käytä tuettua ennen kirjautumista tapahtuvaa järjestelyä, josta on sovittu päätepisteiden ja identiteetin omistajien kanssa. Always On VPN -laitetunneli, joka todennetaan tietokoneen varmenteella, kelpaa, kun hallittu laite täyttää kyseisen käyttöönoton edellytykset. Toimittajan tuki kirjautumisnäytön integraatiolle on toinen vaihtoehto. Tavallinen käyttäjäprofiili automaattisella laukaisimella ei ole kumpikaan, niin samankaltaiselta kuin se asiakasliittymässä näyttääkin.

Tämä reitti tarvitsee nimien selvityksen toimialueelle, tavoitettavissa olevan toimialueen ohjaimen ja ne todentamisprotokollat, joita tili saa käyttää, eikä mikään »yhdistetty«-ilmaisin tarjoa niistä mitään. Sen reittien ja suodattimien pitäisi kuljettaa identiteettipalvelut eikä mitään muuta tarpeetonta, koska tuo etuliiteluettelo on pinta, jonka varastettu kannettava saa ennen kuin kukaan kirjautuu sisään. Käyttäjätunnelille tehdyt jaetun tunnelin päätökset eivät siirry laitetunneliin, joten tarkastele molempia erikseen.

Tavoitettavuus ei ole todentamisen yhteensopivuutta

Tunneli voi kuljettaa paketteja moitteettomasti, kun taas toimialueen todentaminen epäonnistuu, koska yritetty mekanismi on sellainen, jota tili ei saa käyttää. Toimialueella, joka valvoo ryhmän rajoituksia, NTLM ei ole jäsenten saatavilla ja Kerberos vaatii AES-yhteensopivan tilin ja kokoonpanon. Pakettireitti ei voi korjata kumpaakaan. Siksi puhdas ping toimialueen ohjaimeen ei ole todiste siitä, että kirjautuminen toimii.

Pelissä voi olla myös kaksi tunnistetietojärjestelmää. VPN voi todentaa identiteetintarjoajaa vastaan, kun taas Windows tarvitsee erikseen toimialuekirjautumisen, eikä ensimmäisen hyväksyntä kerro toisesta mitään. »VPN yhdistyi« ja »käyttäjä kirjautui sisään« ovat erillisiä havaintoja, eikä toisen korjaaminen tarkoita toista.

Lue todentamisen todisteet

Kerää tapahtumia asiakkaalta ja toimialueen ohjaimelta samasta yrityksestä, älä vain toiselta puolelta. Protected Users -lokit ovat kohdassa Applications and Services Logs\Microsoft\Windows\Authentication, ja järjestelmänvalvojan on ehkä kytkettävä loki päälle ennen kuin se tallentaa mitään. Korreloi aikaleimat tunnelin omaan yhteyslokiin, koska järjestysvirhe näyttää tunnistetietovialta kummaltakin puolelta.

Ensimmäinen komento alla luettelee jokaisen todentamislokin, jonka laite paljastaa, joten luet sen, joka on olemassa, et sitä, jonka blogikirjoitus nimesi. Toinen lukee viimeaikaiset merkinnät, kun tiedät nimen. Etsi todentamispaketti, tili ja epäonnistumisen ehto, koska puuttuva verkkoreitti ja hylätty mekanismi jättävät erilaiset todisteet ja vain toinen niistä on VPN-ongelma. Jos tunneli nousi vasta yrityksen jälkeen, järjestys oli väärä riippumatta siitä, mitä nuo merkinnät sanovat.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Todista raja kylmäkäynnistyksestä

Suorita testi uloskirjautuneesta tai juuri käynnistetystä tilasta rajoitetulla tilillä ja pidä hyväksytty palautumisreitti avoinna ennen kuin muutat mitään etuoikeutetuille käyttäjille. Testi jo käynnissä olevalla työpöydällä ei harjoita mitään olennaisen koodipolun osaa, ja se selittää suurimman osan raporteista korjauksesta, joka kesti seuraavaan uudelleenkäynnistykseen. Käy sitten läpi neljä vaihetta tässä järjestyksessä.

1. Vahvista, että laite löytää toimialueen ohjaimen ennen kuin kukaan kirjautuu sisään, komennolla nltest /dsgetdc:corp.example.com.
2. Yritä toimialuekirjautumista ja kysy sitten, saatiinko lippu ylipäätään, komennolla klist.
3. Lue todentamisloki, jonka laite tallentaa, kahdella yllä olevalla komennolla, ja merkitse paketti ja epäonnistumisen ehto.
4. Vahvista, että hyväksytty palautumistunnistetieto toimii edelleen kirjautumisnäytöltä, koska se on ainoa tie takaisin, jos rajatestaus epäonnistuu.

Tiedostojakoon avaaminen annetuilla tunnistetiedoilla ei sekään luo offline-tilassa toimivaa interaktiivista kirjautumista, joten se ei korvaa mitään yllä olevaa vaihetta. Jos organisaatio todella tarvitsee kirjautumisen ilman yhteyttä, vastaus on yhteensopiva tili- ja päätepistesuunnittelu, joka on valittu tarkoituksella. Tilin poistaminen ryhmästä tai yhden rajoittamattoman hätäkirjautumisen pitäminen jokaisella kannettavalla on identiteettipolitiikan päätös, jota VPN-muutos ei voi tehdä puolestasi.

Protected Users -dokumentaatio kuvaa sekä vahvistimen käyttäytymisen että ne toimialuerajoitukset, joista tämä suunnittelu riippuu. Suunnittele palautumisprosessi ennen kuin kukaan matkustaa, koska kylmäkäynnistystesti on ainoa paikka, jossa sitä harjoitellaan.