Por que un portátil de dominio acepta o contrasinal antigo sen conexión

Un cambio de contrasinal chega a todas partes á vez, agás ao único portátil que estivo unha semana sen conexión. O correo web acepta o contrasinal novo, un equipo de sobremesa da oficina tamén, e a máquina remota segue iniciando sesión co antigo cando a VPN está caída. Non é un segundo contrasinal nin un fallo de sincronización do directorio. É o verificador de inicio de sesión na caché facendo o que foi deseñado para facer, e a solución é unha secuencia, non un restablecemento.

O portátil comproba un verificador na caché

Windows unido ao dominio garda un verificador local dos inicios de sesión interactivos recentes correctos, para que o equipo poida arrincar cando ningún controlador de dominio responde. Ese verificador derívase do contrasinal tal como estaba naquel inicio de sesión. Cambiar o contrasinal noutro sitio actualiza o directorio, non a copia dun portátil que non falou con el desde entón.

Por iso o contrasinal antigo aínda pode abrir a sesión local aínda que non sirva para ningunha autenticación de dominio nova. Son dúas observacións distintas, e mesturalas leva a restablecementos repetidos.

Confirme que credencial se está usando realmente antes de cambiar nada máis. Un PIN de Windows Hello, un inicio de sesión con Entra ID e un contrasinal de dominio tradicional son mecanismos separados, e o PIN en particular non é o contrasinal do dominio aínda que desbloquee o mesmo escritorio.

A autenticación de rede non é un inicio de sesión interactivo

Abrir un recurso compartido co contrasinal novo demostra que a ruta de rede funciona. Non refresca a caché do inicio de sesión interactivo, porque Windows trata a autenticación de rede e a interactiva como operacións separadas con estado separado.

O verificador só se refresca cando un inicio de sesión interactivo contacta de verdade cun controlador de dominio; unha unidade asignada ou un aviso de Outlook non o fan.

Esa distinción explica o informe habitual: o usuario pode ler o correo e abrir a intranet, pero a pantalla de bloqueo segue pedindo o contrasinal antigo. Tamén explica por que unha VPN iniciada despois do inicio de sesión non pode axudar ao inicio inicial, xa que o túnel chega despois de que a decisión xa se tomase localmente.

Consiga un inicio de sesión en liña no momento axeitado

A caché refrescase cando o usuario inicia sesión de forma interactiva mentres o dominio é accesible. Nunha máquina remota, iso significa que o túnel debe existir antes de que se avalíe a credencial, non despois de que apareza o escritorio.

Comprobe se o despregamento admite conectividade previa ao inicio de sesión ou un túnel de dispositivo. Están deseñados para ese momento, e un túnel de usuario non os substitúe:

nltest /dsgetdc:corp.example
klist

Se o punto final non ten unha ruta previa ao inicio de sesión, use o proceso de recuperación compatible que documente a organización. Algúns contornos empregan unha secuencia de conectar, bloquear e desbloquear co túnel aberto na pantalla de bloqueo; outros envían o dispositivo a un paso de recuperación xestionado. Siga o que corresponda ao cliente e, antes de confiar nel, confirme que o túnel sobrevive á pantalla de bloqueo.

Protexa o camiño de volta

Antes de pechar a sesión dunha máquina remota, decida como chegará o seguinte inicio de sesión ao dominio. Un túnel de usuario que cae coa sesión pode eliminar o único camiño co que contaba, e entón nin o contrasinal antigo nin o novo lle farán pasar a pantalla de bloqueo. Manteña unha conta administrativa local ou unha consola fóra de banda como alternativa. Escriba o paso de recuperación onde o usuario poida alcanzalo sen iniciar sesión.

Para soporte, reúna catro datos: onde se cambiou o contrasinal, que credencial segue funcionando sen conexión, se se chega a un controlador de dominio polo túnel e que método de inicio de sesión usa o portátil.

Eses catro separan un verificador obsoleto dun bloqueo de conta ou dun inicio de sesión VPN rexeitado, que nun ticket parecen iguais e teñen solucións distintas. Unha conta bloqueada rexeitará o contrasinal novo tamén en liña, así que probe isto antes de culpar a caché.

Pecha o círculo cun inicio de sesión en liña

O obxectivo é un inicio de sesión interactivo compatible mentres o dominio é accesible, seguido dun estado sen conexión coñecido. Ese único acontecemento refresca o verificador e remata co ciclo de cambiar o contrasinal en cada dispositivo.

Verifique o estado despois co reconto de inicios de sesión na caché e unha consulta ao controlador de dominio:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Se o reconto é cero, o inicio de sesión na caché está desactivado por directiva e o comportamento sen conexión non cambiará por moitas veces que se restableza o contrasinal. É unha decisión de directiva que hai que expor ao propietario, non unha solución alternativa para aplicar localmente.