למה מחשב נייד בתחום מקבל את הסיסמה הישנה ללא רשת

שינוי סיסמה מגיע לכל מקום בבת אחת, פרט למחשב הנייד האחד שהיה מנותק מהרשת שבוע שלם. הדואר המקוון מקבל את הסיסמה החדשה, מחשב שולחני במשרד מקבל אותה, והמכונה המרוחקת עדיין נכנסת עם הישנה כשהחיבור ל־VPN מושבת. זו אינה סיסמה שנייה ולא תקלה בסנכרון של הספרייה. זהו המאמת של הכניסה שנשמר במטמון ועושה את מה שתוכנן לעשות, והפתרון הוא רצף שלבים, לא איפוס.

המחשב בודק מאמת שנשמר במטמון

Windows שמצורף לתחום שומר מאמת מקומי עבור כניסות אינטראקטיביות מוצלחות לאחרונה, כדי שהמכונה תוכל לעלות כשאף בקר תחום אינו עונה. המאמת הזה נגזר מהסיסמה כפי שהייתה באותה כניסה. שינוי הסיסמה במקום אחר מעדכן את הספרייה, לא את העותק שעל מחשב נייד שלא דיבר איתה מאז.

לכן הסיסמה הישנה עדיין יכולה לפתוח את ההפעלה המקומית, אף שהיא אינה תקפה לשום אימות תחום חדש. אלו שתי תצפיות שונות, וערבוב שלהן מוביל לאיפוסים חוזרים.

ודאו איזה אישור גישה באמת בשימוש לפני שמשנים משהו אחר. PIN של Windows Hello, כניסה עם Entra ID וסיסמת תחום מסורתית הם מנגנונים נפרדים, וה־PIN בפרט אינו סיסמת התחום גם כשהוא משחרר את אותו שולחן עבודה.

אימות רשת אינו כניסה אינטראקטיבית

פתיחת שיתוף קבצים עם הסיסמה החדשה מוכיחה שנתיב הרשת עובד. היא אינה מרעננת את מטמון הכניסה האינטראקטיבית, משום ש־Windows מתייחס לאימות רשת ולאימות אינטראקטיבי כפעולות נפרדות עם מצב נפרד.

המאמת מתרענן רק כשכניסה אינטראקטיבית באמת יוצרת קשר עם בקר תחום; כונן ממופה או הודעה של Outlook לא עושים זאת.

ההבחנה הזאת מסבירה את הדיווח הרגיל: המשתמש יכול לקרוא דואר ולפתוח את האינטרנט הפנימי, אבל מסך הנעילה עדיין דורש את הסיסמה הישנה. היא גם מסבירה מדוע VPN שהופעל לאחר הכניסה לא יכול לעזור לכניסה הראשונית, שכן המנהרה מגיעה לאחר שההחלטה כבר התקבלה מקומית.

השיגו כניסה מקוונת אחת ברגע הנכון

המטמון מתרענן כשהמשתמש נכנס באופן אינטראקטיבי כשהתחום נגיש. במכונה מרוחקת המשמעות היא שהמנהרה חייבת להתקיים לפני הערכת אישור הגישה, ולא אחרי הופעת שולחן העבודה.

בדקו אם הפריסה תומכת בקישוריות לפני כניסה או במנהרת התקן. אלה מיועדים בדיוק לתזמון הזה, ומנהרת משתמש אינה תחליף להם:

nltest /dsgetdc:corp.example
klist

אם לנקודת הקצה אין נתיב לפני כניסה, השתמשו בתהליך השחזור הנתמך שהארגון מתעד. סביבות מסוימות משתמשות ברצף של התחברות, נעילה ושחרור כשהמנהרה נשארת פתוחה במסך הנעילה; אחרות שולחות את ההתקן לשלב שחזור מנוהל. פעלו לפי זה שמתאים ללקוח, ולפני שאתם מסתמכים עליו, ודאו שהמנהרה שורדת את מסך הנעילה.

הגנו על הדרך חזרה

לפני יציאה ממכונה מרוחקת, החליטו איך הכניסה הבאה תגיע לתחום. מנהרת משתמש שנופלת עם ההפעלה יכולה להסיר את הנתיב היחיד שעליו סמכתם, ואז לא הסיסמה הישנה ולא החדשה יעבירו אתכם את מסך הנעילה. החזיקו חשבון ניהול מקומי או קונסולה מחוץ לרשת כגיבוי. כתבו את שלב השחזור במקום שהמשתמש יכול להגיע אליו בלי להיכנס.

לתמיכה, אספו ארבע עובדות: היכן השתנתה הסיסמה, איזה אישור גישה עדיין עובד בלי רשת, האם בקר תחום נגיש דרך המנהרה, ואיזו שיטת כניסה המחשב משתמש בה.

ארבעת אלה מבדילים בין מאמת מיושן לבין נעילת חשבון או כניסת VPN שנדחתה, שנראים דומים בכרטיס תקלה אך שונים בתיקון. חשבון נעול ידחה את הסיסמה החדשה גם באופן מקוון, לכן בדקו זאת לפני שמאשימים את המטמון.

סגרו את המעגל בכניסה מקוונת אחת

המטרה היא כניסה אינטראקטיבית נתמכת אחת כשהתחום נגיש, ואחריה מצב מנותק מוכר. האירוע הבודד הזה מרענן את המאמת ומסיים את המחזור של שינוי הסיסמה בכל התקן.

בדקו את המצב לאחר מכן לפי מספר הכניסות שנשמרו במטמון וחיפוש בקר תחום:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

אם המספר אפס, הכניסה במטמון מושבתת על ידי מדיניות וההתנהגות בלי רשת לא תשתנה, לא משנה כמה פעמים תאופס הסיסמה. זו החלטת מדיניות שצריך להעלות בפני הבעלים, ולא עקיפה ליישום מקומי.