Zašto domenni prijenosnik prihvaća staru lozinku izvan mreže

Promjena lozinke stigne svugdje istovremeno, osim na onom jednom prijenosniku koji je tjedan dana bio izvan mreže. Web-pošta prihvaća novu lozinku, stolno računalo u uredu je prihvaća, a udaljeni stroj se ipak prijavljuje starom kada je VPN isključen. To nije druga lozinka i nije greška u sinkronizaciji imenika. To je predmemorirani verifikator prijave koji radi ono za što je napravljen, a rješenje je slijed koraka, ne reset.

Prijenosnik provjerava predmemorirani verifikator

Windows pridružen domeni čuva lokalni verifikator za nedavne uspješne interaktivne prijave kako bi se stroj mogao pokrenuti kada nijedan kontroler domene ne odgovara. Taj se verifikator izvodi iz lozinke kakva je bila pri toj prijavi. Promjena lozinke negdje drugdje ažurira imenik, ali ne i kopiju na prijenosniku koji od tada nije razgovarao s njim.

Zato stara lozinka još može otvoriti lokalnu sesiju iako je nevažeća za svaku novu provjeru identiteta u domeni. To su dva različita zapažanja, a njihovo miješanje vodi do ponovljenih resetiranja.

Prije nego što išta drugo promijenite, potvrdite koja je vjerodajnica zapravo u igri. PIN za Windows Hello, prijava putem Entra ID-a i tradicionalna lozinka domene odvojeni su mehanizmi, a PIN posebno nije lozinka domene čak i kada otključava istu radnu površinu.

Mrežna provjera identiteta nije interaktivna prijava

Otvaranje mrežnog dijeljenja novom lozinkom dokazuje da mrežni put radi. Ono ne osvježava predmemoriju interaktivne prijave jer Windows mrežnu i interaktivnu provjeru identiteta tretira kao odvojene radnje s odvojenim stanjem.

Verifikator se osvježava samo kada interaktivna prijava stvarno kontaktira kontroler domene; mapirani pogon ili Outlookov upit to ne čine.

Ta razlika objašnjava uobičajenu prijavu: korisnik može čitati poštu i otvoriti intranet, ali zaključani zaslon još traži staru lozinku. Objašnjava i zašto VPN pokrenut nakon prijave ne može pomoći početnoj prijavi, jer tunel dolazi nakon što je odluka već donesena lokalno.

Ostvarite jednu online prijavu u pravom trenutku

Predmemorija se osvježava kada se korisnik prijavi interaktivno dok je domena dostupna. Za udaljeni stroj to znači da tunel mora postojati prije nego što se vjerodajnica procijeni, a ne nakon što se radna površina pojavi.

Provjerite podržava li implementacija povezivanje prije prijave ili tunel uređaja. Oni su napravljeni za taj trenutak, a korisnički tunel nije zamjena:

nltest /dsgetdc:corp.example
klist

Ako krajnja točka nema put prije prijave, upotrijebite podržani proces oporavka koji organizacija dokumentira. Neka okruženja koriste slijed povezivanja, zaključavanja i otključavanja s tunelom držanim otvorenim na zaključanom zaslonu; druga šalju uređaj na upravljani korak oporavka. Slijedite onaj koji odgovara klijentu i prije nego što se pouzdate u tunel, potvrdite da preživljava zaključani zaslon.

Zaštitite put natrag

Prije odjave s udaljenog stroja odlučite kako će sljedeća prijava doći do domene. Korisnički tunel koji padne sa sesijom može ukloniti jedini put na koji ste računali, a tada vas ni stara ni nova lozinka neće provesti kroz zaključani zaslon. Držite lokalni administratorski račun ili izvanpojasnu konzolu kao rezervu. Zapišite korak oporavka tamo gdje korisnik može do njega bez prijave.

Za podršku prikupite četiri činjenice: gdje je lozinka promijenjena, koja vjerodajnica još radi bez mreže, je li kontroler domene dostupan kroz tunel i koju metodu prijave prijenosnik koristi.

Te četiri odvajaju zastarjeli verifikator od zaključavanja računa ili odbijene VPN prijave, koji u zahtjevu izgledaju slično, a imaju različita rješenja. Zaključan račun odbit će novu lozinku i online, pa to provjerite prije nego optužite predmemoriju.

Zatvorite krug jednom online prijavom

Cilj je jedna podržana interaktivna prijava dok je domena dostupna, nakon čega slijedi poznato stanje bez mreže. Taj jedini događaj osvježava verifikator i prekida ciklus mijenjanja lozinke na svakom uređaju.

Stanje zatim provjerite brojem predmemoriranih prijava i pretragom kontrolera domene:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ako je broj nula, predmemorirana prijava onemogućena je pravilnikom i ponašanje bez mreže neće se promijeniti koliko god puta lozinka bila resetirana. To je odluka o pravilniku koju treba pokrenuti kod vlasnika, a ne zaobilazno rješenje za lokalnu primjenu.