Hvers vegna Protected Users fartölva þarf VPN fyrir innskráningu

Fartölva, vinnandi reikningur og hótelnet mynda saman innskráningarlykkju sem engin endurtekning rýfur. Reikningurinn er í Protected Users, sem kemur í veg fyrir að Windows geymi þann sannprófanda sem það þyrfti til að sannprófa notandann án nettengingar. Sérhver áætlun af gerðinni „skráðu þig fyrst inn, tengdu göngin svo“ hefur öfuga röð, og vörnin gerir nákvæmlega það sem hún lofar. Eftirfarandi gerir ráð fyrir hefðbundnum Active Directory reikningi á studdum Windows vefþjóni.

Hvað vörnin fjarlægir í raun

Windows geymir venjulega sannprófanda í skyndiminni svo lénsreikningur geti skráð sig inn þegar lénsstjóri er óaðgengilegur. Protected Users lokar því fyrir reikninginn, sem fjarlægir innskráningu í lén án nettengingar sem möguleika í stað þess að gera hana óáreiðanlega.

Þetta er ekki venjulega vandamálið með úrelt skyndiminni, og venjulegu ráðin eiga ekki við. Endurtekin innskráning á netinu, önnur lykilorðsbreyting eða hækkun á fjölda skyndiminniðra innskráninga endurheimtir ekki getuna, því ekkert þessara atriða býr til þann sannprófanda sem stefnan neitar að geyma. Reikningurinn hagar sér eins og hann er hannaður, og hönnunin gerir ráð fyrir að netið sé til staðar þegar Windows spyr. Að meðhöndla einkennin sem skyndiminnisbilun er leiðin sem teymi fara til að byggja upp snið sem var aldrei brotið.

Hvers vegna göngin verða að vera til fyrir skjáborðið

Tækið verður að ná lénssannprófun á þeirri stundu sem Windows biður um hana, og það er áður en nokkur notendalota er til. VPN biðlari sem ræsist aðeins eftir að skjáborðið birtist skilur eftir nýja innskráningu sem bíður slóðar sem kemur aldrei. Ósjálfstæðin tilheyrir vélinni, ekki notanda sem hefur ekki skráð sig inn enn.

Notið studda fyrirframinnskráningaruppsetningu sem er samþykkt með eigendum endapunkta og auðkennis. Always On VPN tækjagöng sem eru sannprófuð með tölvuskírteini henta þegar stýrða tækið uppfyllir forsendur þeirrar uppsetningar. Studd innskráningarskjásamþætting frá söluaðila er annar valkostur. Venjulegt notendasnið með sjálfvirkri kveikju er hvorugt, hversu svipað sem það lítur út í viðmóti biðlarans.

Sú leið þarf nafnupplausn fyrir lénið, aðgengilegan lénsstjóra og þau sannprófunarsamskipti sem reikningnum er heimilt að nota, og engin „tengt“ vísbending veitir neitt af þessu. Leiðir hennar og síur eiga að flytja auðkennisþjónusturnar og ekkert annað sem er ekki nauðsynlegt, því sá forskeytalisti er það yfirborð sem stolin fartölva fær áður en nokkur skráir sig inn. Ákvarðanir um skipt göng sem teknar eru fyrir notendagöng gilda ekki fyrir tækjagöng, svo farið yfir þau hvort í sínu lagi.

Aðgengi er ekki sannprófunarsamhæfi

Göng geta flutt pakka fullkomlega á meðan lénssannprófun mistekst, því aðferðin sem reynd er er ein sem reikningnum er óheimil. Í léni sem framfylgir takmörkunum hópsins er NTLM ekki í boði fyrir meðlimi og Kerberos þarf AES-samhæfan reikning og stillingu. Pakkaleið getur ekki gert við hvorugt. Þess vegna er hreint ping til lénsstjóra ekki sönnun þess að innskráning muni virka.

Tvö skírteinakerfi geta líka verið í gangi. VPN getur sannprófað sig gagnvart auðkennisveitu á meðan Windows þarf sérstaklega lénsinnskráningu, og samþykki hins fyrra segir ekkert um hið síðara. „VPN tengdist“ og „notandinn er innskráður“ eru aðskildar athuganir, og að laga annað felur ekki í sér hitt.

Lestu sönnunargögnin um sannprófun

Safnið atburðum frá biðlinum og frá lénsstjóra fyrir sömu tilraun, ekki aðeins frá annarri hlið. Protected Users annálarnir eru undir Applications and Services Logs\Microsoft\Windows\Authentication, og stjórnandi gæti þurft að kveikja á annál áður en hann skráir nokkuð. Tengið tímastimplana við tengiannál ganganna sjálfra, því röðuvilla lítur út eins og skírteinisbilun frá báðum hliðum.

Fyrsta skipunin hér að neðan listar hvern þann sannprófunarannál sem tækið sýnir, svo þú lest þann sem er til í stað þess sem bloggfærsla nefndi. Önnur les nýlegar færslur þegar þú þekkir nafnið. Leitaðu að sannprófunarpakkanum, reikningnum og skilyrði bilunar, því skortur á netleið og hafnaðri aðferð skilja eftir ólík sönnunargögn og aðeins annað þeirra er VPN vandamál. Ef göngin komu upp eftir tilraunina var röðin röng, hvað sem þessar færslur segja.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Sannið mörkin frá köldu ræsingu

Keyrðu prófið frá útskráðu eða nýræstu ástandi með takmörkuðum reikningi, og hafðu samþykkta endurheimtuleið opna áður en þú breytir nokkru fyrir forréttindanotendur. Próf á skjáborði sem er þegar í gangi þjálfar engan hluta þeirrar kóðaleiðar sem skiptir máli, og það útskýrir flestar skýrslur um lagfæringu sem stóðst til næstu ræsingar. Farðu síðan í gegnum fjögur skref í þessari röð.

1. Staðfestu að tækið finni lénsstjóra áður en nokkur skráir sig inn, með nltest /dsgetdc:corp.example.com.
2. Reyndu lénsinnskráningu og spurðu síðan hvort miða hafi yfirhöfuð verið náð, með klist.
3. Lestu sannprófunarannálinn sem tækið skráir, með skipununum tveimur hér að ofan, og skráðu pakkann og skilyrði bilunar.
4. Staðfestu að samþykkti endurheimtaskírteininn virki enn frá innskráningarskjánum, því það er eina leiðin til baka ef markprófið mistekst.

Að opna skráardeilingu með gefnum skírteinum býr heldur ekki til gagnvirka innskráningu án nettengingar, svo það kemur ekki í stað neins skrefs hér að ofan. Ef stofnunin þarf sannarlega innskráningu án tengingar er svarið samhæf hönnun reiknings og endapunkts sem valin er viljandi. Að taka reikninginn úr hópnum, eða halda einni ótakmarkaðri neyðarinnskráningu í hverri fartölvu, er auðkennisstefnuákvörðun sem VPN breyting getur ekki tekið fyrir þig.

Skjöl um Protected Users lýsa bæði hegðun sannprófandans og þeim lénstakmörkunum sem þessi hönnun byggir á. Skipuleggið endurheimtarferlið áður en einhver ferðast, því kaldræsingarprófið er eini staðurinn þar sem það er þjálfað.