מדוע מחשב נייד עם Protected Users זקוק ל‑VPN לפני הכניסה

מחשב נייד, חשבון עובד ורשת של בית מלון מצטרפים ללולאת כניסה שאין ניסיון חוזר שמשתבר אותה. החשבון נמצא ב‑Protected Users, מה שמונע מ‑Windows לאחסן את המאמת שהיה נחוץ לו כדי לאמת את המשתמש ללא חיבור. כל תוכנית מן הצורה «היכנסו קודם, חברו את המנהרה אחר כך» הפוכה בסדר, וההגנה עושה בדיוק את מה שהיא מבטיחה. להלן מניחים חשבון Active Directory מסורתי במארח Windows נתמך.

מה ההגנה באמת מסירה

בדרך כלל Windows שומר מאמת במטמון כדי שחשבון תחום יוכל להיכנס כשבקר התחום אינו נגיש. Protected Users חוסם זאת עבור החשבון, מה שמסיר כניסה לתחום ללא חיבור כאפשרות במקום להפוך אותה לבלתי אמינה.

זו אינה הבעיה הרגילה של מטמון מיושן, והתרופות הרגילות אינן חלות. כניסה חוזרת ונשנית באופן מקוון, החלפת סיסמה נוספת או העלאת מספר הכניסות השמורות במטמון לא ישחזרו את היכולת, משום שאף אחת מן הפעולות הללו אינה יוצרת את המאמת שהמדיניות מסרבת לאחסן. החשבון מתנהג כמתוכנן, והתכנון מניח שהרשת נוכחת כשהמערכת שואלת. התייחסות לתסמין כתקלת מטמון היא הדרך שבה צוותים מגיעים לבנייה מחדש של פרופיל שמעולם לא היה שבור.

מדוע המנהרה חייבת להתקיים לפני שולחן העבודה

המכשיר חייב להגיע לאימות התחום ברגע שבו Windows מבקש זאת, וזה לפני שקיים שיח משתמש כלשהו. לקוח VPN שעולה רק לאחר שהשולחן מופיע משאיר כניסה חדשה ממתינה לנתיב שלעולם אינו מגיע. התלות שייכת למכונה, לא למשתמש שעדיין לא נכנס.

השתמשו בסידור תמיכה לפני כניסה שסוכם עם בעלי נקודות הקצה והזהות. מנהרת מכשיר Always On VPN המאומתת בתעודת מחשב מתאימה כשהמכשיר המנוהל עומד בדרישות המוקדמות של פריסה כזו. שילוב מסך כניסה נתמך של ספק הוא אפשרות אחרת. פרופיל משתמש רגיל עם מפעיל אוטומטי אינו אף אחד מהם, עד כמה שהוא נראה דומה בממשק הלקוח.

הנתיב הזה זקוק לפתרון שמות עבור התחום, לבקר תחום נגיש ולפרוטוקולי האימות שהחשבון רשאי להשתמש בהם, ואף מחוון «מחובר» אינו מספק את אלה. המסלולים והמסננים שלו צריכים לשאת את שירותי הזהות ולא דבר אחר שאינו נדרש, משום שרשימת הקידומות הזו היא פני השטח שמחשב נייד גנוב מקבל לפני שמישהו נכנס. החלטות מנהרה מפוצלת שנעשו למנהרת המשתמש אינן עוברות למנהרת המכשיר, לכן בחנו את השתיים בנפרד.

נגישות אינה תאימות אימות

מנהרה יכולה להעביר מנות באופן מושלם ובמקביל אימות התחום נכשל, משום שהמנגנון שמנסים הוא כזה שהחשבון אינו רשאי להשתמש בו. בתחום שאוכף את מגבלות הקבוצה, NTLM אינו זמין לחברים ו‑Kerberos זקוק לחשבון ולקונפיגורציה תואמי AES. נתיב מנות אינו יכול לתקן אף אחד מהם. לכן פינג נקי לבקר תחום אינו הוכחה שהכניסה תעבוד.

ייתכנו גם שתי מערכות אישורים. ה‑VPN יכול לאמת מול ספק זהות ובמקביל Windows זקוק בנפרד לכניסת תחום, וקבלה של הראשונה אינה אומרת דבר על השנייה. «ה‑VPN התחבר» ו«המשתמש נכנס» הן תצפיות נפרדות, ותיקון האחת אינו מרמז על השנייה.

קראו את ראיות האימות

אספו אירועים מהלקוח ומבקר תחום עבור אותו ניסיון, ולא רק מצד אחד. יומני Protected Users נמצאים תחת Applications and Services Logs\Microsoft\Windows\Authentication, וייתכן שמנהל יצטרך להפעיל יומן לפני שהוא רושם משהו. תאמו את חותמות הזמן עם יומן החיבור של המנהרה עצמה, משום שטעות בסדר נראית כתקלת אישורים משני הצדדים.

הפקודה הראשונה להלן מפרטת כל יומן אימות שהמכשיר חושף, כך שתקראו את זה שקיים ולא את זה שפוסט בבלוג נקב בשמו. השנייה קוראת רשומות אחרונות לאחר שתדעו את השם. חפשו את חבילת האימות, את החשבון ואת תנאי הכשל, משום שנתיב רשת חסר ומנגנון שנדחה משאירים ראיות שונות ורק אחת מהן היא בעיית VPN. אם המנהרה עלתה אחרי הניסיון, הסדר היה שגוי יהיה אשר יהיה מה שהרשומות האלה אומרות.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

הוכיחו את הגבול מאתחול קר

הריצו את הבדיקה ממצב מנותק או מאתחול טרי עם חשבון מוגבל, והשאירו נתיב שחזור מאושר פתוח לפני שתשנו משהו למשתמשים מורשים. בדיקה על שולחן עבודה שכבר פועל אינה מתרגלת שום חלק מנתיב הקוד החשוב, וזה מסביר את רוב הדיווחים על תיקון שהחזיק עד האתחול הבא. לאחר מכן עברו על ארבעת השלבים בסדר הזה.

1. ודאו שהמכשיר יכול למצוא בקר תחום לפני שמישהו נכנס, עם nltest /dsgetdc:corp.example.com.
2. נסו את כניסת התחום, ואז שאלו אם הושג כרטיס בכלל, עם klist.
3. קראו את יומן האימות שהמכשיר רושם, עם שתי הפקודות שלמעלה, וציינו את החבילה ואת תנאי הכשל.
4. ודאו שאישור השחזור המאושר עדיין עובד ממסך הכניסה, משום שזו הדרך היחידה חזרה אם בדיקת הגבול נכשלת.

פתיחת שיתוף קבצים עם אישורים מסופקים גם אינה יוצרת כניסה אינטראקטיבית ללא חיבור, ולכן אינה מחליפה אף שלב שלמעלה. אם הארגון באמת זקוק לכניסה ללא חיבור, התשובה היא תכנון תואם של חשבון ונקודת קצה שנבחר בכוונה. הוצאת החשבון מהקבוצה, או השארת כניסת חירום אחת בלתי מוגבלת בכל מחשב נייד, היא החלטת מדיניות זהות ששינוי VPN אינו יכול לקבל עבורכם.

התיעוד של Protected Users מתאר גם את התנהגות המאמת וגם את מגבלות התחום שהתכנון הזה תלוי בהן. תכננו את תהליך השחזור לפני שמישהו נוסע, משום שבדיקת האתחול הקר הוא המקום היחיד שבו הוא מתורגל.