Wêrom in Protected Users-laptop de VPN foar oanmelden nedich hat

In laptop, in wurkjend account en in hotelnetwurk foarmje mei-inoar in oanmeldlus dy’t gjin oantal nije besykjen brekt. It account stiet yn Protected Users, wat Windows tsjinhâldt de ferifiearder op te slaan dy’t it nedich hat om de brûker offline te ferifiearjen. Elk plan fan ’e foarm „earst oanmelde, dêrnei de tunnel ferbine“ hat de oarder ferkeard om, en de beskerming docht krekt wat se ûnthjit. It folgjende giet út fan in tradisjoneel Active Directory-account op in stipe Windows-host.

Wat de beskerming eins fuorthellet

Windows cachet normaal in ferifiearder sadat in domeinaccount oanmelde kin wylst in domeinkontroller net berikber is. Protected Users blokket dat foar it account, wat offline domeinoanmelding as mooglikheid fuorthellet ynstee fan it ûnbetrouber te meitsjen.

Dit is net it gewoane probleem fan in ferâldere cache, en de gewoane remedies jouwe hjir net. Werheljend online oanmelde, it wachtwurd nochris feroarje of it tal cache-oanmeldingen ferheegje sil de mooglikheid net werombringe, want gjin fan dy aksjes makket de ferifiearder dy’t it belied wegert op te slaan. It account docht him sa foar as ûntwurpen, en it ûntwerp giet derfan út dat it netwurk der is as Windows it freget. It symptoom as cacheskoat behannelje is de wize hoe’t teams in profyl wer opbouwe dat nea stikken wie.

Wêrom’t de tunnel foar it buroblêd bestean moat

It apparaat moat domeinferifikaasje berikke op it stuit dat Windows dêrom freget, en dat is foar’t der in brûkerssesje bestiet. In VPN-klant dy’t pas start nei’t it buroblêd ferskynt, lit in nije oanmelding wachtsje op in paad dat nea komt. De ôfhinklikheid heart by de masine, net by in brûker dy’t noch net oanmeld is.

Brûk in stipe foar-oanmeld-regeling dy’t ôfstimd is mei de eigners fan einpunten en identiteit. In Always On VPN-apparaattunnel ferifisearre mei in kompjûtersertifikaat foldocht as it beheard apparaat oan de betingsten fan dy útrôl foldocht. In stipe oanmeldskermyntegraasje fan in leveransier is in oare. In gewoan brûkersprofyl mei in automatyske trigger is gjin fan beide, hoe gelyk oft it der ek útsjocht yn ’e kliïntynterface.

Dat paad hat namme-oplossing foar it domein nedich, in berikbere domeinkontroller en de ferifikaasjeprotokollen dy’t it account brûke mei, en gjin oanwiizing „ferbûn“ jout ien fan dy. De rûtes en filters moatte de identiteitstsjinsten drage en fierder neat dat net nedich is, want dy foarheaksel-list is it oerflak dat in stellen laptop krijt foar’t immen oanmeldt. Besluten oer split-tunnel foar de brûkerstunnel jilde net foar de apparaattunnel, dus besjoch beide apart.

Berikberens is gjin ferifikaasjekompatibiliteit

In tunnel kin pakketten perfekt drage wylst domeinferifikaasje mislearret, want it meganisme dat besocht wurdt is ien dat it account net brûke mei. Yn in domein dat de beheiningen fan ’e groep hanthavet, is NTLM net beskikber foar leden en Kerberos freget in AES-kompatibel account en konfiguraasje. In pakketpaad kin gjin fan beide reparearje. Dêrom is in skjinne ping nei in domeinkontroller gjin bewiis dat oanmelden wurkje sil.

Der kinne ek twa credentialsystemen yn it spul wêze. De VPN kin ferifiearje by in identiteitsprovider wylst Windows apart in domeinoanmelding nedich hat, en akseptaasje troch it earste seit neat oer it twadde. „De VPN is ferbûn“ en „de brûker is oanmeld“ binne aparte waarnimmings, en ien reparearje betsjut net it oare.

Lês it ferifikaasjebewiis

Sammelje foarfallen fan ’e kliïnt en fan in domeinkontroller foar itselde besykjen, net allinnich fan ien kant. De Protected Users-logs steane ûnder Applications and Services Logs\Microsoft\Windows\Authentication, en in behearder moat miskien in log oansette foar’t dy wat opnimt. Korrelaasje de tiidstimpels mei de eigen ferbining-log fan ’e tunnel, want in oardersflater liket fan beide kanten as in credentialskoat.

It earste kommando hjirûnder listet elke ferifikaasjelog op dy’t it apparaat sjen lit, sadat jo lêze dy’t bestiet en net dy’t in blogpost neamde. It twadde lêst resinte ynfieringen as jo de namme kenne. Sjoch nei it ferifikaasjepakket, it account en de betingst fan mislearjen, want in ûntbrekkend netwurkpaad en in wegere meganisme litte ferskillend bewiis nei en mar ien fan beide is in VPN-probleem. As de tunnel nei it besykjen omheech kaam, wie de oarder ferkeard hoe’t dy ynfieringen ek sizze.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Bewiis de grins fan in kâlde start

Doch de test fan in ôfmeld of krekt starte tastân mei in beheind account, en hâld in goedkarde werstelpaad iepen foar’t jo wat foar privilegiearre brûkers feroarje. In test op in buroblêd dat al rint beoefenet gjin part fan it paad yn ’e koade dat der ta docht, en dat ferklearret de measte rapporten oer in repaaraasje dy’t hold oant de folgjende werstart. Wurkje dêrnei de fjouwer stappen yn dizze oarder troch.

1. Befêstigje dat it apparaat in domeinkontroller fine kin foar’t immen oanmeldt, mei nltest /dsgetdc:corp.example.com.
2. Besykje de domeinoanmelding, en freegje dan oft der wol in ticket krigen is, mei klist.
3. Lês de ferifikaasjelog dy’t it apparaat opnimt, mei de twa kommando’s hjirboppe, en notearje it pakket en de betingst fan mislearjen.
4. Befêstigje dat it goedkarde werstel-credential noch fan it oanmeldskerm wurket, want dat is de iennige wei werom as de grinstest mislearret.

It iepenjen fan in bestandieling mei oanlevere credentials makket ek gjin offline ynteraktyf oanmelden, dus it ferfangt gjin stap hjirboppe. As de organisaasje echt oanmelde sûnder ferbining nedich hat, is it antwurd in kompatibel account- en einpuntûntwerp dat bewust keazen is. It account út ’e groep helje, of ien ûnbeheind needoanmelding op elke laptop hâlde, is in beslút oer identiteitsbelied dat in VPN-feroaring net foar jo nimme kin.

De dokumintaasje oer Protected Users beskriuwt sawol it hâlden en dwaan fan ’e ferifiearder as de domeinbeheiningen dêr’t dit ûntwerp fan ôfhinklik is. Plan it werstelproses foar’t immen reizget, want de kâlde-starttest is it iennige plak dêr’t it beoefene wurdt.