Mengapa laptop Protected Users memerlukan VPN sebelum masuk

Laptop, akun yang berfungsi, dan jaringan hotel bersama-sama membentuk lingkaran masuk yang tidak dipatahkan oleh berapa pun percobaan ulang. Akun berada di Protected Users, yang mencegah Windows menyimpan verifikator yang dibutuhkannya untuk mengautentikasi pengguna secara offline. Rencana apa pun berbentuk «masuk dulu, sambungkan terowongan setelahnya» memiliki urutan terbalik, dan perlindungan itu melakukan persis seperti yang dijanjikannya. Berikut ini mengasumsikan akun Active Directory tradisional pada host Windows yang didukung.

Apa yang sebenarnya dihilangkan oleh perlindungan itu

Windows biasanya menyimpan verifikator di cache agar akun domain dapat masuk saat pengendali domain tidak terjangkau. Protected Users memblokirnya untuk akun tersebut, yang menghapus kemungkinan masuk domain secara offline alih-alih membuatnya tidak andal.

Ini bukan masalah cache kedaluwarsa yang biasa, dan obat biasanya tidak berlaku. Masuk online berulang kali, mengganti kata sandi lagi, atau menaikkan jumlah masuk yang di-cache tidak akan memulihkan kemampuan itu, karena tidak satu pun tindakan tersebut membuat verifikator yang ditolak kebijakan untuk disimpan. Akun berperilaku sesuai rancangan, dan rancangan itu mengasumsikan jaringan tersedia saat Windows memintanya. Memperlakukan gejala sebagai kerusakan cache adalah cara tim akhirnya membangun ulang profil yang tidak pernah rusak.

Mengapa terowongan harus ada sebelum desktop

Perangkat harus mencapai autentikasi domain pada saat Windows memintanya, yaitu sebelum ada sesi pengguna. Klien VPN yang baru mulai setelah desktop muncul membiarkan proses masuk baru menunggu jalur yang tidak pernah datang. Ketergantungan itu milik mesin, bukan milik pengguna yang belum masuk.

Gunakan pengaturan pra-masuk yang didukung dan disepakati dengan pemilik endpoint dan identitas. Terowongan perangkat Always On VPN yang diautentikasi dengan sertifikat komputer memenuhi syarat bila perangkat terkelola memenuhi prasyarat penerapan tersebut. Integrasi layar masuk yang didukung vendor merupakan pilihan lain. Profil pengguna biasa dengan pemicu otomatis bukan keduanya, seserupa apa pun tampilannya di antarmuka klien.

Jalur itu memerlukan resolusi nama untuk domain, pengendali domain yang terjangkau, dan protokol autentikasi yang boleh digunakan akun, dan tidak ada indikator «terhubung» yang menyediakan semua itu. Rute dan filternya harus membawa layanan identitas dan tidak ada hal lain yang tidak diperlukan, karena daftar prefiks itulah permukaan yang didapat laptop curian sebelum siapa pun masuk. Keputusan terowongan terpisah yang diambil untuk terowongan pengguna tidak berlaku untuk terowongan perangkat, jadi tinjau keduanya secara terpisah.

Keterjangkauan bukan kompatibilitas autentikasi

Terowongan dapat membawa paket dengan sempurna sementara autentikasi domain gagal, karena mekanisme yang dicoba adalah mekanisme yang tidak boleh digunakan akun. Di domain yang menegakkan pembatasan grup, NTLM tidak tersedia bagi anggota dan Kerberos memerlukan akun serta konfigurasi yang kompatibel dengan AES. Jalur paket tidak dapat memperbaiki keduanya. Itulah sebabnya ping bersih ke pengendali domain bukan bukti bahwa proses masuk akan berhasil.

Dua sistem kredensial juga dapat berperan. VPN dapat mengautentikasi ke penyedia identitas sementara Windows secara terpisah memerlukan logon domain, dan penerimaan oleh yang pertama tidak mengatakan apa pun tentang yang kedua. «VPN tersambung» dan «pengguna sudah masuk» adalah pengamatan terpisah, dan memperbaiki satu tidak berarti yang lain.

Baca bukti autentikasi

Kumpulkan peristiwa dari klien dan dari pengendali domain untuk percobaan yang sama, bukan hanya dari satu sisi. Log Protected Users berada di bawah Applications and Services Logs\Microsoft\Windows\Authentication, dan administrator mungkin harus menyalakan log sebelum mencatat apa pun. Korelasikan stempel waktu dengan log koneksi terowongan itu sendiri, karena kesalahan urutan tampak seperti kerusakan kredensial dari kedua sisi.

Perintah pertama di bawah ini mendaftar setiap log autentikasi yang ditampilkan perangkat, sehingga Anda membaca yang ada, bukan yang disebutkan sebuah pos blog. Perintah kedua membaca entri terbaru setelah Anda mengetahui namanya. Cari paket autentikasi, akun, dan kondisi kegagalan, karena jalur jaringan yang hilang dan mekanisme yang ditolak meninggalkan bukti berbeda dan hanya satu di antaranya masalah VPN. Jika terowongan baru naik setelah percobaan, urutannya salah, apa pun yang dikatakan entri tersebut.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Buktikan batasnya dari boot dingin

Jalankan pengujian dari keadaan keluar atau baru dinyalakan dengan akun terbatas, dan biarkan jalur pemulihan yang disetujui tetap terbuka sebelum mengubah apa pun untuk pengguna istimewa. Pengujian pada desktop yang sudah berjalan tidak melatih bagian mana pun dari jalur kode yang penting, dan itu menjelaskan sebagian besar laporan tentang perbaikan yang bertahan sampai boot berikutnya. Lalu lewati empat langkah dalam urutan ini.

1. Pastikan perangkat dapat menemukan pengendali domain sebelum siapa pun masuk, dengan nltest /dsgetdc:corp.example.com.
2. Coba logon domain, lalu tanyakan apakah tiket diperoleh sama sekali, dengan klist.
3. Baca log autentikasi yang dicatat perangkat, dengan dua perintah di atas, dan catat paket serta kondisi kegagalan.
4. Pastikan kredensial pemulihan yang disetujui masih berfungsi dari layar masuk, karena itulah satu-satunya jalan kembali bila pengujian batas gagal.

Membuka berbagi pakai dengan kredensial yang diberikan juga tidak membuat logon interaktif offline, jadi itu bukan pengganti langkah mana pun di atas. Jika organisasi benar-benar memerlukan masuk tanpa koneksi, jawabannya adalah rancangan akun dan endpoint yang kompatibel dipilih dengan sengaja. Mengeluarkan akun dari grup, atau menyimpan satu login darurat tanpa batas di setiap laptop, adalah keputusan kebijakan identitas yang tidak dapat diambil perubahan VPN untuk Anda.

Dokumentasi Protected Users menjelaskan perilaku verifikator maupun pembatasan domain yang menjadi landasan rancangan ini. Rencanakan proses pemulihan sebelum siapa pun bepergian, karena pengujian boot dingin adalah satu-satunya tempat proses itu dilatih.