Ինչու Protected Users-ով նոթբուքին պետք է VPN մինչև մուտքը

Նոթբուքը, աշխատանքային հաշիվը և հյուրանոցային ցանցը միասին ստեղծում են մուտքի մի ցիկլ, որը ոչ մի կրկնակի փորձ չի կոտրում։ Հաշիվը գտնվում է Protected Users-ում, ինչը խանգարում է Windows-ին պահել այն հաստատիչը, որը նրան անհրաժեշտ կլիներ օգտատիրոջը առանց կապի նույնականացնելու համար։ «Նախ մուտք գործեք, հետո միացրեք թունելը» ձևի ցանկացած ծրագիր ունի հակառակ հերթականություն, և պաշտպանությունը անում է հենց այն, ինչ խոստանում է։ Հետևյալը ենթադրում է ավանդական Active Directory հաշիվ աջակցվող Windows հոսթում։

Ինչ է իրականում հեռացնում պաշտպանությունը

Սովորաբար Windows-ը պահում է հաստատիչը պահոցում, որպեսզի դոմենի հաշիվը կարողանա մուտք գործել, երբ դոմենի կարգավորիչն անհասանելի է։ Protected Users-ը արգելափակում է դա հաշվի համար, ինչը հեռացնում է առանց կապի դոմենային մուտքը որպես հնարավորություն՝ այն անվստահելի դարձնելու փոխարեն։

Սա հնացած պահոցի սովորական խնդիրը չէ, և սովորական միջոցները այստեղ չեն գործում։ Կրկնվող առցանց մուտքը, ևս մեկ գաղտնաբառի փոփոխությունը կամ պահոցում պահված մուտքերի քանակի ավելացումը չեն վերականգնի ունակությունը, որովհետև այդ գործողություններից ոչ մեկը չի ստեղծում այն հաստատիչը, որը քաղաքականությունը հրաժարվում է պահել։ Հաշիվն իրեն պահում է այնպես, ինչպես նախագծված է, և նախագիծը ենթադրում է, որ ցանցը առկա է, երբ Windows-ը հարցնում է։ Ախտանիշը որպես պահոցի խափանում դիտարկելը այն ուղին է, որով թիմերը վերակառուցում են պրոֆիլ, որը երբեք չէր կոտրվել։

Ինչու թունելը պետք է գոյություն ունենա սկզբնական էկրանից առաջ

Սարքը պետք է հասնի դոմենային նույնականացմանը այն պահին, երբ Windows-ը պահանջում է դա, և դա ցանկացած օգտատիրոջ սեսիայից առաջ է։ VPN հաճախորդը, որը գործարկվում է միայն սկզբնական էկրանի հայտնվելուց հետո, նոր մուտքը թողնում է սպասելու մի ուղու, որը երբեք չի գալիս։ Կախվածությունը պատկանում է մեքենային, ոչ թե օգտատիրոջը, որը դեռ չի մուտք գործել։

Օգտագործեք վերջնակետերի և ինքնության պատասխանատուների հետ համաձայնեցված աջակցվող նախամուտքի լուծում։ Կոմպյուտերի վկայականով նույնականացված Always On VPN սարքի թունելը համապատասխանում է, երբ կառավարվող սարքը բավարարում է այդ տեղակայման նախապայմաններին։ Մատակարարի աջակցվող մուտքի էկրանի ինտեգրումը մեկ այլ տարբերակ է։ Ավտոմատ գործարկիչով սովորական օգտատիրոջ պրոֆիլը ոչ մեկն է, ոչ մյուսը, որքան էլ նման թվա հաճախորդի ինտերֆեյսում։

Այդ ուղուն անհրաժեշտ են անունների լուծում դոմենի համար, հասանելի դոմենի կարգավորիչ և նույնականացման այն արձանագրությունները, որոնք հաշիվը կարող է օգտագործել, և «միացված» ցուցիչը դրանցից ոչ մեկը չի ապահովում։ Նրա երթուղիները և զտիչները պետք է կրեն ինքնության ծառայությունները և ոչ այլ ավելորդ բան, որովհետև այդ նախածանցերի ցանկը այն մակերևույթն է, որը գողացված նոթբուքը ստանում է մինչև որևէ մեկի մուտքը։ Օգտատիրոջ թունելի համար ընդունված բաժանված թունելի որոշումները չեն տարածվում սարքի թունելի վրա, ուստի դիտարկեք երկուսը առանձին։

Հասանելիությունը նույնականացման համատեղելիություն չէ

Թունելը կարող է կատարյալ փոխանցել փաթեթները, մինչդեռ դոմենային նույնականացումը ձախողվում է, որովհետև փորձվող մեխանիզմն այնպիսին է, որը հաշիվը չի կարող օգտագործել։ Դոմենում, որը կիրառում է խմբի սահմանափակումները, NTLM-ը հասանելի չէ անդամներին, և Kerberos-ին անհրաժեշտ են AES-համատեղելի հաշիվ և կոնֆիգուրացիա։ Փաթեթների ուղին չի կարող ուղղել դրանցից ոչ մեկը։ Դրա համար էլ դոմենի կարգավորիչին մաքուր ping-ը ապացույց չէ, որ մուտքը կաշխատի։

Կարող են գործել նաև երկու հավատարմագրային համակարգեր։ VPN-ը կարող է նույնականացվել ինքնության մատակարարի հետ, մինչդեռ Windows-ին առանձին անհրաժեշտ է դոմենային մուտք, և առաջինի ընդունումը ոչինչ չի ասում երկրորդի մասին։ «VPN-ը միացել է» և «օգտատերը մուտք է գործել» առանձին դիտարկումներ են, և մեկի շտկումը չի ենթադրում մյուսը։

Կարդացեք նույնականացման ապացույցները

Հավաքեք իրադարձություններ հաճախորդից և դոմենի կարգավորիչից նույն փորձի համար, ոչ միայն մեկ կողմից։ Protected Users-ի մատյանները գտնվում են Applications and Services Logs\Microsoft\Windows\Authentication-ի տակ, և ադմինիստրատորը կարող է ստիպված լինել միացնել մատյանը, նախքան այն ինչ-որ բան գրանցի։ Համատեղեք ժամանակային նշանները հենց թունելի միացման մատյանի հետ, որովհետև հերթականության սխալը երկու կողմից էլ հավատարմագրի խափանում է թվում։

Ստորև առաջին հրամանը թվարկում է սարքի բացահայտած բոլոր նույնականացման մատյանները, ուստի դուք կարդում եք գոյություն ունեցողը, ոչ թե այն, որը նշել է ինչ-որ բլոգային գրառում։ Երկրորդը կարդում է վերջին գրառումները, երբ արդեն գիտեք անունը։ Փնտրեք նույնականացման փաթեթը, հաշիվը և ձախողման պայմանը, որովհետև բացակայող ցանցային ուղին և մերժված մեխանիզմը տարբեր ապացույցներ են թողնում, և դրանցից միայն մեկն է VPN-ի խնդիր։ Եթե թունելը բարձրացել է փորձից հետո, հերթականությունը սխալ էր, ինչ էլ որ ասեն այդ գրառումները։

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Ապացուցեք սահմանը սառը գործարկումից

Անցկացրեք փորձարկումը դուրս եկած կամ նոր գործարկված վիճակից սահմանափակ հաշվով, և բաց պահեք հաստատված վերականգնման ուղին, նախքան արտոնյալ օգտատերերի համար ինչ-որ բան փոխելը։ Արդեն աշխատող սկզբնական էկրանի վրա փորձարկումը չի վարժեցնում կարևոր կոդի ուղու ոչ մի մասը, և դա է բացատրում հաջորդ վերագործարկումից առաջ դիմացած ուղղման մասին հաղորդումների մեծ մասը։ Այնուհետև անցեք չորս քայլերը այս հերթականությամբ։

1. Հաստատեք, որ սարքը կարող է գտնել դոմենի կարգավորիչ մինչև որևէ մեկի մուտքը, nltest /dsgetdc:corp.example.com-ի միջոցով։
2. Փորձեք դոմենային մուտքը, ապա հարցրեք՝ արդյոք տոմս ընդհանրապես ստացվել է, klist-ի միջոցով։
3. Կարդացեք սարքի գրանցած նույնականացման մատյանը վերևի երկու հրամաններով, և նշեք փաթեթը և ձախողման պայմանը։
4. Հաստատեք, որ հաստատված պահուստային հավատարմագիրը դեռ աշխատում է մուտքի էկրանից, որովհետև դա վերադառնալու միակ ուղին է, եթե սահմանի փորձարկումը ձախողվի։

Տրված հավատարմագրերով ֆայլային համօգտագործման բացումը նույնպես առանց կապի ինտերակտիվ մուտք չի ստեղծում, ուստի այն չի փոխարինում վերևի ոչ մի քայլին։ Եթե կազմակերպությանը իսկապես անհրաժեշտ է առանց կապի մուտք, պատասխանը գիտակցաբար ընտրված համատեղելի հաշվի և վերջնակետի նախագիծն է։ Հաշիվը խմբից հանելը կամ յուրաքանչյուր նոթբուքում մեկ անսահմանափակ արտակարգ մուտք պահելը ինքնության քաղաքականության որոշում է, որը VPN-ի փոփոխությունը չի կարող կայացնել ձեր փոխարեն։

Protected Users-ի փաստաթղթերը նկարագրում են և՛ հաստատիչի վարքը, և՛ այն դոմենային սահմանափակումները, որոնցից կախված է այս նախագիծը։ Պլանավորեք վերականգնման գործընթացը նախքան որևէ մեկի ճամփորդելը, որովհետև սառը գործարկման փորձարկումը միակ տեղն է, որտեղ այն վարժեցվում է։