Miért kell a Protected Users laptopnak VPN a bejelentkezés előtt

Egy laptop, egy működő fiók és egy szállodai hálózat együtt olyan bejelentkezési hurkot ad, amelyet semmilyen újrapróbálkozás nem tör meg. A fiók a Protected Users csoportban van, ami megakadályozza, hogy a Windows tárolja azt az ellenőrzőt, amelyre a felhasználó offline hitelesítéséhez szüksége lenne. Minden olyan terv, amelynek formája „először jelentkezzen be, aztán csatlakoztassa az alagutat”, fordított sorrendű, és a védelem pontosan azt teszi, amit ígér. A következők hagyományos Active Directory-fiókot feltételeznek támogatott Windows-gazdagépen.

Mit távolít el valójában a védelem

A Windows általában gyorsítótárazza az ellenőrzőt, hogy a tartományi fiók be tudjon jelentkezni, miközben a tartományvezérlő elérhetetlen. A Protected Users ezt blokkolja a fiók számára, ami az offline tartományi bejelentkezést lehetőségként távolítja el, ahelyett hogy megbízhatatlanná tenné.

Ez nem a szokásos elavult gyorsítótár-probléma, és a szokásos megoldások nem érvényesek. Az ismételt online bejelentkezés, az újabb jelszócsere vagy a gyorsítótárazott bejelentkezések számának növelése nem állítja vissza a képességet, mert ezek egyike sem hozza létre azt az ellenőrzőt, amelynek tárolását a házirend megtagadja. A fiók úgy viselkedik, ahogy tervezték, a terv pedig feltételezi, hogy a hálózat jelen van, amikor a Windows kéri. A tünet gyorsítótár-hibaként kezelése az az út, amelyen a csapatok újraépítenek egy profilt, amely soha nem volt hibás.

Miért kell az alagútnak az asztal előtt léteznie

Az eszköznek abban a pillanatban el kell érnie a tartományi hitelesítést, amikor a Windows kéri, ez pedig minden felhasználói munkamenet előtt van. Az a VPN-kliens, amely csak az asztal megjelenése után indul, egy friss bejelentkezést hagy arra várni, hogy megérkezzen egy útvonal, amely soha nem jön. A függőség a géphez tartozik, nem egy felhasználóhoz, aki még nem jelentkezett be.

Használjon támogatott, a végpont- és identitástulajdonosokkal egyeztetett bejelentkezés előtti megoldást. Az Always On VPN eszköz-alagút, amelyet számítógép-tanúsítvánnyal hitelesítenek, akkor felel meg, ha a felügyelt eszköz teljesíti az adott telepítés előfeltételeit. Egy szállító támogatott bejelentkezési képernyő-integrációja egy másik lehetőség. Az automatikus indítóval rendelkező hétköznapi felhasználói profil egyik sem, bármennyire hasonlónak tűnik is a kliens felületén.

Ennek az útvonalnak névfeloldásra van szüksége a tartományhoz, egy elérhető tartományvezérlőre és azokra a hitelesítési protokollokra, amelyeket a fiók használhat, és ezek egyikét sem nyújtja a „csatlakozva” jelző. Az útvonalaknak és szűrőknek az identitásszolgáltatásokat kell vinniük, és semmi mást, ami nem szükséges, mert ez az előtaglista az a felület, amelyet egy ellopott laptop kap, mielőtt bárki bejelentkezne. A felhasználói alagúthoz hozott osztott alagút döntések nem vihetők át az eszköz-alagútra, ezért vizsgálja felül a kettőt külön.

Az elérhetőség nem hitelesítési kompatibilitás

Az alagút tökéletesen szállíthat csomagokat, miközben a tartományi hitelesítés meghiúsul, mert a megkísérelt mechanizmus olyan, amelyet a fiók nem használhat. Egy olyan tartományban, amely kikényszeríti a csoport korlátait, az NTLM nem érhető el a tagok számára, a Kerberos pedig AES-kompatibilis fiókot és konfigurációt igényel. Egy csomagútvonal egyiket sem tudja helyrehozni. Ezért egy tiszta ping a tartományvezérlőre nem bizonyítja, hogy a bejelentkezés működni fog.

Két hitelesítőrendszer is szóba jöhet. A VPN hitelesíthet egy identitásszolgáltatónál, miközben a Windowsnak külön tartományi bejelentkezésre van szüksége, és az első elfogadása semmit nem mond a másodikról. A „VPN csatlakozott” és a „felhasználó bejelentkezett” külön megfigyelések, és az egyik javítása nem jelenti a másikat.

Olvassa el a hitelesítési bizonyítékokat

Gyűjtsön eseményeket a klienstől és egy tartományvezérlőtől ugyanahhoz a kísérlethez, ne csak az egyik oldalról. A Protected Users naplói a Applications and Services Logs\Microsoft\Windows\Authentication alatt találhatók, és előfordulhat, hogy az adminisztrátornak be kell kapcsolnia egy naplót, mielőtt az bármit rögzít. Korrelálja az időbélyegeket magának az alagútnak a kapcsolati naplójával, mert egy sorrendi hiba mindkét oldalról hitelesítőadat-hibának látszik.

Az alábbi első parancs felsorol minden hitelesítési naplót, amelyet az eszköz közzétesz, így azt olvassa, amelyik létezik, és nem azt, amelyiket egy blogbejegyzés megnevezett. A második a legutóbbi bejegyzéseket olvassa, ha már tudja a nevet. Keresse a hitelesítési csomagot, a fiókot és a hiba feltételét, mert egy hiányzó hálózati útvonal és egy elutasított mechanizmus eltérő bizonyítékot hagy, és csak az egyikük VPN-probléma. Ha az alagút a kísérlet után jött fel, a sorrend volt hibás, bármit is mondanak ezek a bejegyzések.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Bizonyítsa a határt hideg indításból

Futtassa a tesztet kijelentkezett vagy frissen indított állapotból korlátozott fiókkal, és tartson nyitva egy jóváhagyott helyreállítási útvonalat, mielőtt bármit módosítana a kiemelt felhasználók számára. Egy már futó asztalon végzett teszt nem gyakorolja a fontos kódútvonal egyetlen részét sem, és ez magyarázza a legtöbb jelentést egy javításról, amely a következő újraindításig tartott. Ezután haladjon végig a négy lépésen ebben a sorrendben.

1. Erősítse meg, hogy az eszköz megtalál egy tartományvezérlőt, mielőtt bárki bejelentkezne, a nltest /dsgetdc:corp.example.com segítségével.
2. Kísérelje meg a tartományi bejelentkezést, majd kérdezze meg, hogy egyáltalán szereztek-e jegyet, a klist segítségével.
3. Olvassa el a hitelesítési naplót, amelyet az eszköz rögzít, a fenti két paranccsal, és jegyezze fel a csomagot és a hiba feltételét.
4. Erősítse meg, hogy a jóváhagyott helyreállítási hitelesítő adat továbbra is működik a bejelentkezési képernyőről, mert ez az egyetlen visszaút, ha a határteszt meghiúsul.

A fájlmegosztás megnyitása átadott hitelesítő adatokkal szintén nem hoz létre offline interaktív bejelentkezést, tehát nem helyettesíti a fenti lépések egyikét sem. Ha a szervezetnek valóban szüksége van kapcsolat nélküli bejelentkezésre, a válasz egy szándékosan választott, kompatibilis fiók- és végpontterv. A fiók eltávolítása a csoportból, vagy egy korlátlan vészbejelentkezés fenntartása minden laptopon identitáspolitikai döntés, amelyet egy VPN-változtatás nem hozhat meg Ön helyett.

A Protected Users dokumentációja leírja az ellenőrző viselkedését és azokat a tartományi korlátozásokat is, amelyektől ez a terv függ. Tervezze meg a helyreállítási folyamatot, mielőtt bárki utazik, mert a hideg indítási teszt az egyetlen hely, ahol gyakorolják.