რატომ სჭირდება Protected Users-ის ლეპტოპს VPN შესვლამდე

ლეპტოპი, მომუშავე ანგარიში და სასტუმრო ქსელი ერთად ქმნიან შესვლის ციკლს, რომელსაც არავითარი განმეორებითი ცდა არ ტეხავს. ანგარიში Protected Users-შია, რაც Windows-ს უშლის შეინახოს ის დამადასტურებელი, რომელიც დასჭირდებოდა მომხმარებლის ოფლაინ ავთენტიფიკაციისთვის. ნებისმიერ გეგმას ფორმით „ჯერ შედით, შემდეგ შეაერთეთ გვირაბი“ შებრუნებული რიგი აქვს, და დაცვა ზუსტად იმას აკეთებს, რასაც ჰპირდება. ქვემოთ მოცემული ვარაუდობს ტრადიციულ Active Directory ანგარიშს მხარდაჭერილ Windows ჰოსტზე.

რას აცილებს დაცვა სინამდვილეში

ჩვეულებრივ Windows ქეშავს დამადასტურებელს, რათა დომენის ანგარიშმა შეძლოს შესვლა, როცა დომენის კონტროლერი მიუწვდომელია. Protected Users ბლოკავს ამას ანგარიშისთვის, რაც ოფლაინ დომენურ შესვლას შესაძლებლობად აუქმებს, ნაცვლად იმისა, რომ ის არასანდო გახადოს.

ეს არ არის ძველი ქეშის ჩვეულებრივი პრობლემა და ჩვეულებრივი საშუალებები აქ არ მოქმედებს. განმეორებითი ონლაინ შესვლა, პაროლის კიდევ ერთი შეცვლა ან ქეშირებული შესვლების რაოდენობის გაზრდა უნარის აღდგენას არ მოახდენს, რადგან ამ ქმედებათაგან არც ერთი არ ქმნის იმ დამადასტურებელს, რომლის შენახვაზეც პოლიტიკა უარს ამბობს. ანგარიში ისე იქცევა, როგორც დაპროექტებულია, და დიზაინი ვარაუდობს, რომ ქსელი არსებობს, როცა Windows ითხოვს. სიმპტომის ქეშის ხარვეზად განხილვა ის გზაა, რომლითაც გუნდები ისეთ პროფილს თავიდან აშენებენ, რომელიც არასდროს გატეხილა.

რატომ უნდა არსებობდეს გვირაბი დესკტოპამდე

მოწყობილობამ დომენურ ავთენტიფიკაციამდე იმ წუთას უნდა მიაღწიოს, როცა Windows ითხოვს, და ეს ნებისმიერი მომხმარებლის სესიამდეა. VPN კლიენტი, რომელიც მხოლოდ დესკტოპის გამოჩენის შემდეგ ირთვება, ახალ შესვლას ტოვებს გზის მოლოდინში, რომელიც არასდროს მოდის. დამოკიდებულება მანქანას ეკუთვნის, არა მომხმარებელს, რომელსაც ჯერ არ შესული.

გამოიყენეთ მხარდაჭერილი შესვლამდელი მოწყობა, შეთანხმებული ბოლო წერტილებისა და იდენტობის მფლობელებთან. კომპიუტერის სერტიფიკატით ავთენტიფიცირებული Always On VPN მოწყობილობის გვირაბი შესაფერისია, როცა მართული მოწყობილობა აკმაყოფილებს ამ განლაგების წინაპირობებს. მომწოდებლის მხარდაჭერილი შესვლის ეკრანის ინტეგრაცია კიდევ ერთი ვარიანტია. ავტომატური ტრიგერის მქონე ჩვეულებრივი მომხმარებლის პროფილი არც ერთია, რაც არ უნდა ჰგავდეს კლიენტის ინტერფეისში.

ამ გზას სჭირდება სახელების გადაწყვეტა დომენისთვის, მისაწვდომი დომენის კონტროლერი და ავთენტიფიკაციის ის პროტოკოლები, რომელთა გამოყენებაც ანგარიშს შეუძლია, და „დაკავშირებული“ ინდიკატორი არც ერთს არ იძლევა. მისი მარშრუტები და ფილტრები იდენტობის სერვისებს უნდა ატარებდეს და მეტს არაფერს არასაჭიროს, რადგან სწორედ ეს პრეფიქსების სიაა ის ზედაპირი, რომელსაც მოპარული ლეპტოპი იღებს სანამ ვინმე შევა. მომხმარებლის გვირაბისთვის მიღებული გაყოფილი გვირაბის გადაწყვეტილებები მოწყობილობის გვირაბზე არ ვრცელდება, ამიტომ განიხილეთ ორივე ცალკე.

მიწვდომადობა ავთენტიფიკაციის თავსებადობა არ არის

გვირაბს შეუძლია პაკეტები უნაკლოდ გადაიტანოს, მაშინ როცა დომენური ავთენტიფიკაცია ვარდება, რადგან მცდელობილი მექანიზმი ისეთია, რომელსაც ანგარიში ვერ გამოიყენებს. დომენში, რომელიც ჯგუფის შეზღუდვებს აღასრულებს, NTLM წევრებისთვის მიუწვდომელია და Kerberos-ს სჭირდება AES-თავსებადი ანგარიში და კონფიგურაცია. პაკეტების გზა ვერც ერთს ვერ შეაკეთებს. ამიტომ დომენის კონტროლერზე სუფთა ping არ არის მტკიცებულება, რომ შესვლა იმუშავებს.

შეიძლება ორი სისტემაც მოქმედებდეს. VPN შეიძლება ავთენტიფიცირდეს იდენტობის მომწოდებელთან, მაშინ როცა Windows-ს ცალკე სჭირდება დომენური შესვლა, და პირველის მიღება მეორეზე არაფერს ამბობს. „VPN დაკავშირდა“ და „მომხმარებელი შევიდა“ ცალკე დაკვირვებებია, და ერთის გასწორება მეორეს არ გულისხმობს.

წაიკითხეთ ავთენტიფიკაციის მტკიცებულებები

შეაგროვეთ მოვლენები კლიენტიდან და დომენის კონტროლერიდან ერთი და იმავე ცდისთვის, და არა მხოლოდ ერთი მხრიდან. Protected Users-ის ჟურნალები Applications and Services Logs\Microsoft\Windows\Authentication-ის ქვეშაა, და ადმინისტრატორს შეიძლება ჟურნალის ჩართვა დასჭირდეს, სანამ ის რამეს ჩაწერს. დააკავშირეთ დროის ნიშნები თავად გვირაბის კავშირის ჟურნალს, რადგან რიგის შეცდომა ორივე მხრიდან ავთენტიფიკაციის ხარვეზად გამოიყურება.

ქვემოთ პირველი ბრძანება ჩამოთვლის ყველა ავთენტიფიკაციის ჟურნალს, რომელსაც მოწყობილობა ავლენს, ასე რომ თქვენ კითხულობთ არსებულს და არა იმას, რომელიც ბლოგის პოსტმა დაასახელა. მეორე კითხულობს ბოლო ჩანაწერებს, როცა სახელი უკვე იცით. მოძებნეთ ავთენტიფიკაციის პაკეტი, ანგარიში და წარუმატებლობის პირობა, რადგან ქსელური გზის არქონა და უარყოფილი მექანიზმი სხვადასხვა მტკიცებულებას ტოვებს და მხოლოდ ერთი მათგანია VPN-ის პრობლემა. თუ გვირაბი ცდის შემდეგ ამოვიდა, რიგი არასწორი იყო, რაც არ უნდა თქვან ამ ჩანაწერებმა.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

დაამტკიცეთ საზღვარი ცივი ჩატვირთვიდან

ჩაატარეთ ტესტი გასული ან ახლად ჩატვირთული მდგომარეობიდან შეზღუდული ანგარიშით, და დატოვეთ დამტკიცებული აღდგენის გზა ღიად, სანამ პრივილეგირებული მომხმარებლებისთვის რამეს შეცვლით. უკვე მომუშავე დესკტოპზე ტესტი მნიშვნელოვანი კოდის გზის არც ერთ ნაწილს არ ცვლის, და ეს ხსნის შემდეგ გადატვირთვამდე გამძლე შესწორების შესახებ მოხსენებების უმეტესობას. შემდეგ გაიარეთ ოთხი ნაბიჯი ამ რიგით.

1. დაადასტურეთ, რომ მოწყობილობას შეუძლია დომენის კონტროლერის პოვნა სანამ ვინმე შევა, nltest /dsgetdc:corp.example.com-ის გამოყენებით.
2. სცადეთ დომენური შესვლა, შემდეგ იკითხეთ, საერთოდ მიღებული იყო თუ არა ბილეთი, klist-ის გამოყენებით.
3. წაიკითხეთ ავთენტიფიკაციის ჟურნალი, რომელსაც მოწყობილობა იწერს, ზემოთ მოცემული ორი ბრძანებით, და აღნიშნეთ პაკეტი და წარუმატებლობის პირობა.
4. დაადასტურეთ, რომ დამტკიცებული სარეზერვო ავტორიზაცია კვლავ მუშაობს შესვლის ეკრანიდან, რადგან ეს არის დაბრუნების ერთადერთი გზა, თუ საზღვრის ტესტი ვარდება.

მოცემული ავტორიზაციით ფაილური გაზიარების გახსნა ასევე არ ქმნის ოფლაინ ინტერაქტიულ შესვლას, ამიტომ ის ზემოთ მოცემულ არც ერთ ნაბიჯს არ ცვლის. თუ ორგანიზაციას ნამდვილად სჭირდება კავშირის გარეშე შესვლა, პასუხია განზრახ შერჩეული თავსებადი ანგარიშისა და ბოლო წერტილის დიზაინი. ანგარიშის ჯგუფიდან გამოყვანა, ან ყოველ ლეპტოპზე ერთი შეუზღუდავი საგანგებო შესვლის შენარჩუნება, იდენტობის პოლიტიკის გადაწყვეტილებაა, რომელსაც VPN-ის ცვლილება თქვენ ნაცვლად ვერ მიიღებს.

Protected Users-ის დოკუმენტაცია აღწერს როგორც დამადასტურებლის ქცევას, ისე იმ დომენურ შეზღუდვებს, რომლებზეც ეს დიზაინია დამოკიდებული. დაგეგმეთ აღდგენის პროცესი სანამ ვინმე იმგზავრებს, რადგან ცივი ჩატვირთვის ტესტი ერთადერთი ადგილია, სადაც ის ვარჯიშდება.