Cén fáth a mbíonn VPN de dhíth ar ríomhaire Protected Users roimh logáil isteach

Carnann ríomhaire glúine, cuntas oibre agus líonra óstáin lúb logála nach mbristear le haon iarracht arís. Tá an cuntas i Protected Users, rud a chuireann cosc ar Windows an fíoraitheoir a stóráil a bheadh de dhíth air chun an t-úsáideoir a fhíordheimhniú as líne. Tá an t-ord bunoscionn in aon phlean den chineál «logáil isteach ar dtús, ceangail an tollán ina dhiaidh sin», agus tá an chosaint ag déanamh go beacht an rud a gheallann sí. Glactar leis an méid a leanas le cuntas traidisiúnta Active Directory ar óstríomhaire Windows tacaithe.

An rud a bhaintear amach go fírinneach leis an gcosaint

De ghnáth cuireann Windows fíoraitheoir i dtaisce ionas gur féidir le cuntas fearainn logáil isteach agus an rialaitheoir fearainn doshroichte. Cuireann Protected Users cosc air sin don chuntas, rud a bhaineann logáil isteach fearainn as líne amach mar fhéidearthacht seachas é a dhéanamh neamhiontaofa.

Ní hé seo gnáthfhadhb na taisce seanchaite, agus ní bhaineann na gnáth-leigheasanna leis. Ní chuirfidh logáil isteach ar líne arís agus arís eile, athrú focal faire eile nó ardú ar líon na logálacha i dtaisce an cumas ar ais, mar ní chruthaíonn aon cheann de na gníomhartha sin an fíoraitheoir a dhiúltaíonn an polasaí a stóráil. Tá an cuntas ag iompar de réir an dearaimh, agus glactar leis an dearadh go bhfuil an líonra i láthair nuair a iarrann Windows é. Is é an tsiomptóm a chóireáil mar locht taisce an bealach a gcónaíonn foirne ag atógáil próifíle nár briseadh riamh.

Cén fáth a gcaithfidh an tollán a bheith ann roimh an deasc

Caithfidh an gléas fíordheimhniú fearainn a shroicheadh an nóiméad a iarrann Windows é, agus sin sula mbíonn aon seisiún úsáideora ann. Fágann cliant VPN nach dtosaíonn ach tar éis don deasc teacht chun solais logáil isteach úr ag fanacht le cosán nach dtagann riamh. Baineann an spleáchas leis an meaisín, ní leis an úsáideoir nár logáil isteach fós.

Úsáid socrú réamh-logála tacaithe atá comhaontaithe le húinéirí na gcríochphointí agus na féiniúlachta. Oireann tollán gléis Always On VPN a fhíordheimhnítear le deimhniú ríomhaire nuair a chomhlíonann an gléas bainistithe réamhriachtanais an imlonnaithe sin. Is rogha eile é comhtháthú scáileáin logála tacaithe ó sholáthraí. Ní ceachtar acu é próifíl úsáideora choitianta le truicear uathoibríoch, dá chosúla í sa chomhéadan cliaint.

Teastaíonn ón gcosán sin réiteach ainmneacha don fhearann, rialaitheoir fearainn inrochtana agus na prótacail fhíordheimhniúcháin ar féidir leis an gcuntas iad a úsáid, agus ní sholáthraíonn aon táscaire «ceangailte» aon cheann díobh. Ba cheart dá chonairí agus dá scagairí na seirbhísí féiniúlachta a iompar agus aon rud eile nach bhfuil riachtanach, mar is é an liosta réimíreanna sin an dromchla a fhaigheann ríomhaire glúine goidte sula logálann aon duine isteach. Ní thugann cinntí tolláin scoite a rinneadh don tollán úsáideora leo chuig tollán an ghléis, mar sin déan athbhreithniú ar an dá cheann leo féin.

Ní ionann inrochtaine agus comhoiriúnacht fhíordheimhniúcháin

Is féidir le tollán paicéid a iompar go foirfe agus fíordheimhniú fearainn ag teip, mar is í an mheicníocht a ndéantar iarracht uirthi ceann nach bhféadfadh an cuntas a úsáid. I bhfearann a fhorchuireann srianta an ghrúpa, níl NTLM ar fáil do chomhaltaí agus teastaíonn cuntas agus cumraíocht atá comhoiriúnach le AES ó Kerberos. Ní féidir le cosán paicéad ceachtar acu a dheisiú. Sin an fáth nach cruthúnas é ping glan chuig rialaitheoir fearainn go n-oibreoidh an logáil isteach.

D’fhéadfadh dhá chóras dintiúir a bheith i gceist freisin. Is féidir leis an VPN fíordheimhniú i gcoinne soláthraí féiniúlachta agus teastaíonn logáil isteach fearainn ó Windows ar leithligh, agus ní deir glacadh an chéad cheann aon rud faoin dara ceann. Is breathnuithe ar leithligh iad «cheangail an VPN» agus «logáladh an t-úsáideoir isteach», agus ní hionann ceann amháin a dheisiú agus an ceann eile.

Léigh an fhianaise fhíordheimhniúcháin

Bailigh imeachtaí ón gcliant agus ó rialaitheoir fearainn don iarracht chéanna, ní ó thaobh amháin. Tá logaí Protected Users faoi Applications and Services Logs\Microsoft\Windows\Authentication, agus b’fhéidir go gcaithfidh riarthóir loga a chur ar siúl sula dtaifeadann sé aon rud. Comhghaolaigh na stampaí ama le loga ceangail an tolláin féin, mar is cosúil le locht dintiúirí é botún oird ón dá thaobh.

Liostaíonn an chéad ordú thíos gach loga fíordheimhniúcháin a nochtann an gléas, mar sin léann tú an ceann atá ann seachas an ceann a d’ainmnigh post blag. Léann an dara ceann iontrálacha le déanaí nuair a bheidh an t-ainm ar eolas agat. Féach don phacáiste fíordheimhniúcháin, don chuntas agus don choinníoll teipe, mar fágann cosán líonra ar iarraidh agus meicníocht dhiúltaithe fianaise dhifriúil agus ní VPN-fhadhb ach ceann amháin acu. Má tháinig an tollán aníos tar éis na hiarrachta, bhí an t-ord mícheart is cuma cad a deir na hiontrálacha sin.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Cruthaigh an teorainn ó thosú fuar

Rith an tástáil ó staid logáilte amach nó núíosach tosaithe le cuntas teoranta, agus coinnigh cosán aisghabhála ceadaithe oscailte sula n-athraíonn tú aon rud d’úsáideoirí faoi phribhléid. Ní fheidhmíonn tástáil ar dheasc atá ag rith cheana aon chuid den chosán cóid a bhfuil tábhacht leis, agus sin a mhíníonn formhór na dtuarascálacha faoi cheartú a sheas go dtí an chéad atosú eile. Ansin téigh trí na ceithre chéim san ord seo.

1. Deimhnigh gur féidir leis an ngléas rialaitheoir fearainn a aimsiú sula logálann aon duine isteach, le nltest /dsgetdc:corp.example.com.
2. Déan iarracht ar logáil isteach fearainn, ansin fiafraigh ar fuarthas ticéad ar chor ar bith, le klist.
3. Léigh an loga fíordheimhniúcháin a thaifeadann an gléas, leis an dá ordú thuas, agus tabhair faoi deara an pacáiste agus an coinníoll teipe.
4. Deimhnigh go n-oibríonn an dintiúr aisghabhála ceadaithe fós ón scáileán logála, mar sin an t-aon bhealach ar ais má theipeann ar an tástáil teorann.

Ní chruthaíonn oscailt sciartha comhaid le dintiúirí soláthraithe logáil isteach idirghníomhach as líne ach an oiread, mar sin ní ionadaí é d’aon chéim thuas. Má theastaíonn logáil isteach gan nasc ón eagraíocht i ndáiríre, is é an freagra dearadh comhoiriúnach cuntais agus críochphointe a roghnaíodh d’aon ghnó. Is cinneadh ar pholasaí féiniúlachta é an cuntas a bhaint den ghrúpa, nó logáil isteach éigeandála amháin gan srian a choinneáil ar gach ríomhaire glúine, nach féidir le hathrú VPN a dhéanamh ar do shon.

Doiciméadú Protected Users a chuireann síos ar iompar an fhíoraitheora agus ar na srianta fearainn a bhfuil an dearadh seo ag brath orthu. Pleanáil an próiseas aisghabhála sula dtaistealaíonn aon duine, mar is é an tástáil tosaithe fuar an t-aon áit a bhfeidhmítear é.