Неге Protected Users ноутбугіне кіру алдында VPN қажет

Ноутбук, жұмыс істейтін тіркелгі және қонақүй желісі бірге ешқандай қайталау бұзбайтын кіру циклін құрайды. Тіркелгі Protected Users ішінде, бұл Windows-ке пайдаланушыны офлайн растау үшін қажет болатын растаушыны сақтауға кедергі келтіреді. «Алдымен кіріңіз, содан кейін туннельді қосыңыз» тәрізді кез келген жоспардың реті кері, және қорғаныс дәл уәде еткенін орындайды. Төмендегілер қолдау көрсетілетін Windows хостындағы дәстүрлі Active Directory тіркелгісін болжайды.

Қорғаныс шын мәнінде нені алып тастайды

Әдетте Windows растаушыны кэштейді, сондықтан домен контроллері қолжетімсіз кезде де домен тіркелгісі кіре алады. Protected Users мұны тіркелгі үшін блоктайды, бұл офлайн домен кіруін сенімсіз етудің орнына мүмкіндік ретінде жояды.

Бұл ескірген кэштің қарапайым мәселесі емес және әдеттегі шаралар бұл жерде жарамсыз. Қайта-қайта онлайн кіру, тағы да құпиясөзді ауыстыру немесе кэштелген кірулер санын арттыру мүмкіндікті қалпына келтірмейді, өйткені бұл әрекеттердің ешқайсысы саясат сақтаудан бас тартатын растаушыны жасамайды. Тіркелгі жобаланғандай әрекет етеді, ал жоба Windows сұраған сәтте желінің бар екенін болжайды. Симптомды кэш ақауы ретінде қарау — топтардың ешқашан бұзылмаған профильді қайта құруына әкелетін жол.

Туннель неге жұмыс үстелінен бұрын болуы керек

Құрылғы домен аутентификациясына Windows талап еткен сәтте, яғни кез келген пайдаланушы сессиясы пайда болмай тұрып жетуі керек. Жұмыс үстелі пайда болғаннан кейін ғана іске қосылатын VPN клиенті жаңа кіруді ешқашан келмейтін жолды күтуге қалдырады. Тәуелділік машинаға тән, әлі кірмеген пайдаланушыға емес.

Соңғы нүктелер мен сәйкестік иелерімен келісілген қолдау көрсетілетін кіруалды схеманы пайдаланыңыз. Компьютер сертификатымен аутентификацияланатын Always On VPN құрылғы туннелі басқарылатын құрылғы сол орналастырудың алғышарттарын қанағаттандырғанда жарамды. Жеткізушінің қолдау көрсетілетін кіру экраны интеграциясы — басқа нұсқа. Автоматты триггері бар қарапайым пайдаланушы профилі екеуі де емес, клиент интерфейсінде қаншалықты ұқсас көрінсе де.

Бұл жолға домен үшін атауларды шешу, қолжетімді домен контроллері және тіркелгі пайдалана алатын аутентификация протоколдары қажет, және «қосылған» индикаторы олардың ешқайсысын бермейді. Оның маршруттары мен сүзгілері сәйкестік қызметтерін тасымалдауы керек, ал қажет емес ештеңе қосылмауы керек, өйткені сол префикстер тізімі — ұрланған ноутбук біреу кірмей тұрып алатын бет. Пайдаланушы туннелі үшін қабылданған бөлінген туннель шешімдері құрылғы туннеліне ауыспайды, сондықтан екеуін бөлек қарап шығыңыз.

Қолжетімділік аутентификация үйлесімділігі емес

Туннель пакеттерді мінсіз тасымалдауы мүмкін, ал домен аутентификациясы сәтсіз болады, өйткені сыналған механизм тіркелгі пайдалана алмайтын механизм. Топтың шектеулерін орындайтын доменде NTLM мүшелерге қолжетімсіз, ал Kerberos-қа AES-үйлесімді тіркелгі мен конфигурация қажет. Пакет жолы екеуін де түзетуді мүмкін емес. Сондықтан домен контроллеріне таза ping кіру жұмыс істейтінінің дәлелі емес.

Екі тіркелгі жүйесі де істеуі мүмкін. VPN сәйкестік провайдеріне аутентификация жасауы мүмкін, ал Windows-қа бөлек домен кіруі қажет, және біріншісінің қабылдануы екіншісі туралы ештеңе айтпайды. «VPN қосылды» және «пайдаланушы кірді» — бөлек байқаулар, біреуін түзету екіншісін білдірмейді.

Аутентификация дәлелдерін оқыңыз

Бірдей әрекет үшін оқиғаларды клиенттен де, домен контроллерінен де жинаңыз, тек бір жақтан емес. Protected Users журналдары Applications and Services Logs\Microsoft\Windows\Authentication астында, және әкімшіге бірдеңе жазылмай тұрып журналды қосу қажет болуы мүмкін. Уақыт белгілерін туннельдің өз қосылым журналымен байланыстырыңыз, өйткені рет қатесі екі жақтан да тіркелгі ақауына ұқсайды.

Төмендегі бірінші команда құрылғы ұсынатын барлық аутентификация журналын тізеді, сондықтан сіз барды оқисыз, блог жазбасы атағанды емес. Екіншісі атауын білгеннен кейін соңғы жазбаларды оқиды. Аутентификация пакетін, тіркелгіні және сәтсіздік шартын іздеңіз, өйткені жоқ желі жолы мен қабылданбаған механизм әртүрлі дәлелдер қалдырады және олардың тек біреуі ғана VPN мәселесі. Егер туннель әрекеттен кейін көтерілсе, рет қате болды, бұл жазбалар не десе де.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Шекараны суық қосылудан дәлелдеңіз

Сынақты шыққан немесе жаңа қосылған күйден шектеулі тіркелгімен өткізіңіз және артықшылығы бар пайдаланушылар үшін бірдеңе өзгертпей тұрып бекітілген қалпына келтіру жолын ашық ұстаңыз. Әлдеқашан жұмыс істеп тұрған жұмыс үстеліндегі сынақ маңызды код жолының ешбір бөлігін жаттықтырмайды, және бұл келесі қайта жүктеуге дейін шыдаған түзету туралы есептердің көбін түсіндіреді. Содан кейін төрт қадамды осы ретпен орындаңыз.

1. Біреу кірмей тұрып құрылғының домен контроллерін таба алатынын nltest /dsgetdc:corp.example.com арқылы растаңыз.
2. Домен кіруін қолданып көріңіз, содан кейін klist арқылы билет алынғанын сұраңыз.
3. Құрылғы жазатын аутентификация журналын жоғарыдағы екі командамен оқыңыз және пакет пен сәтсіздік шартын белгілеңіз.
4. Бекітілген қосалқы тіркелгі деректерінің кіру экранынан әлі жұмыс істейтінін растаңыз, өйткені шекара сынағы сәтсіз болса, қайтудың жалғыз жолы сол.

Берілген тіркелгі деректерімен файл бөлісін ашу да офлайн интерактивті кіру жасамайды, сондықтан ол жоғарыдағы қадамдардың орнын баспайды. Егер ұйымға шынымен байланыссыз кіру қажет болса, жауап — әдейі таңдалған үйлесімді тіркелгі мен соңғы нүкте дизайны. Тіркелгіні топтан шығару немесе әр ноутбукте бір шектеусіз төтенше кіруді ұстау — VPN өзгерісі сіздің орныңызға қабылдай алмайтын сәйкестік саясатының шешімі.

Protected Users құжаттамасы растаушының әрекетін және осы дизайн тәуелді домен шектеулерін сипаттайды. Біреу сапарға шықпай тұрып қалпына келтіру процесін жоспарлаңыз, өйткені суық қосылу сынағы ол жаттығатын жалғыз орын.