Эмне үчүн Protected Users ноутбугуна кирүүдөн мурун VPN керек

Ноутбук, иштеген эсеп жана мейманкана тармагы бирге эч кандай кайталоо буза албаган кирүү циклин түзөт. Эсеп Protected Users ичинде, бул Windows'ко колдонуучуну офлайн текшерүү үчүн керектүү текшерүүчүнү сактоого тоскоол болот. «Алгач киргиле, анан туннелди туташтыргыла» деген сыяктуу ар кандай пландын тартиби тескери, жана коргоо убада кылганын так аткарат. Төмөнкүлөр колдоого алынган Windows хостундагы салттуу Active Directory эсебин болжолдойт.

Коргоо чындыгында эмнени алып салат

Адатта Windows текшерүүчүнү кэштейт, ошондуктан домен контроллеру жеткиликсиз болгондо да домен эсеби кире алат. Protected Users муну эсеп үчүн бөгөттөйт, бул офлайн домен кирүүсүн ишенимсиз кылуунун ордуна мүмкүнчүлүк катары жояды.

Бул эскирген кэштин кадимки көйгөйү эмес жана кадимки чаралар бул жерде колдонулбайт. Кайра-кайра онлайн кирүү, дагы бир жолу сырсөздү алмаштыруу же кэштелген кирүүлөрдүн санын көбөйтүү мүмкүнчүлүктү калыбына келтирбейт, анткени бул аракеттердин эч бири саясат сактоодон баш тарткан текшерүүчүнү жаратпайт. Эсеп долбоорлогондой жүрүм-турум көрсөтүүдө, ал эми долбоор Windows сураган учурда тармак бар деп болжолдойт. Симптомду кэш бузулушу катары кароо — командалар эч качан бузулбаган профилди кайра куруп чыгышкан жол.

Эмне үчүн туннель жумуш үстөлүнөн мурун болушу керек

Түзмөк домен аутентификациясына Windows талап кылган учурда, башкача айтканда кандайдыр бир колдонуучу сессиясы пайда боло электе жетиши керек. Жумуш үстөлү пайда болгондон кийин гана иштеп баштаган VPN кардары жаңы кирүүнү эч качан келбеген жолду күтүүгө калтырат. Көз карандылык машинеге таандык, али кирген эмес колдонуучуга эмес.

Акыркы чекиттердин жана инсандыктын ээлери менен макулдашылган колдоого алынган кирүү алдындагы схеманы колдонуңуз. Компьютер сертификаты менен аутентификацияланган Always On VPN түзмөк туннели башкарылуучу түзмөк ошол жайгаштыруунун алдын ала шарттарын канааттандырганда ылайыктуу. Жеткирүүчүнүн колдоого алынган кирүү экранынын интеграциясы — дагы бир вариант. Автоматтык триггер менен кадимки колдонуучу профили экөө тең эмес, кардар интерфейсинде канчалык окшош көрүнсө да.

Бул жолго домен үчүн аттарды чечүү, жеткиликтүү домен контроллеру жана эсеп колдоно алган аутентификация протоколдору керек, жана «туташкан» көрсөткүчү алардын эч бирин бербейт. Анын маршруттары жана чыпкалары инсандык кызматтарын алып жүрүшү керек, ал эми керексиз эч нерсе алынбашы керек, анткени ошол префикстер тизмеси — уурдалган ноутбук бирөө киргенге чейин алган бети. Колдонуучу туннели үчүн кабыл алынган бөлүнгөн туннель чечимдери түзмөк туннелине өтпөйт, ошондуктан экөөнү өз-өзүнчө карап чыгыңыз.

Жеткиликтүүлүк аутентификация шайкештиги эмес

Туннель пакеттерди кемчиликсиз алып бара алат, бирок домен аутентификациясы ийгиликсиз болот, анткени аракет кылынып жаткан механизм эсеп колдоно албаган механизм. Топтун чектөөлөрүн аткарган доменде мүчөлөр үчүн NTLM жеткиликсиз, ал эми Kerberos AES-шайкеш эсепти жана конфигурацияны талап кылат. Пакет жолу экөөнү тең оңдой албайт. Ошондуктан домен контроллеруна таза ping кирүү иштейт деген далил эмес.

Эки ыйгарым укук системасы да иштеши мүмкүн. VPN инсандык провайдерине аутентификация жасашы мүмкүн, ал эми Windows өзүнчө домен кирүүсүн талап кылат, жана биринчисинин кабыл алынышы экинчиси жөнүндө эч нерсе айтпайды. «VPN туташты» жана «колдонуучу кирди» — өзүнчө байкоолор, бирөөнү оңдоо экинчисин билдирбейт.

Аутентификация далилдерин окуңуз

Бир эле аракет үчүн окуяларды кардардан да, домен контроллерунан да чогултуңуз, бир тараптан гана эмес. Protected Users журналдары Applications and Services Logs\Microsoft\Windows\Authentication астында, жана администратор бир нерсе жазылганга чейин журналды күйгүзүүгө туура келиши мүмкүн. Убакыт белгилерин туннелдин өзүнүн туташуу журналы менен салыштырыңыз, анткени тартип катасы эки тараптан тең ыйгарым укук бузулушуна окшойт.

Төмөнкү биринчи буйрук түзмөк көрсөткөн бардык аутентификация журналдарын тизмелейт, ошондуктан сиз бар болгонун окуйсуз, блог жазуусу атаганын эмес. Экинчиси атты билгенден кийин акыркы жазууларды окуйт. Аутентификация пакетин, эсепти жана ийгиликсиздик шартын издеңиз, анткени жок тармак жолу жана четке кагылган механизм ар башка далилдерди калтырат жана алардын бири гана VPN көйгөйү. Эгер туннель аракеттен кийин көтөрүлсө, тартип туура эмес болгон, бул жазуулар эмне десе да.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Чекти муздак жүктөөдөн далилдеңиз

Сыноону чыккан же жаңы жүктөлгөн абалдан чектелген эсеп менен өткөрүңүз жана артыкчылыгы бар колдонуучулар үчүн бир нерсени өзгөртүүдөн мурун бекитилген калыбына келтирүү жолун ачык кармаңыз. Мурунтан иштеп жаткан жумуш үстөлүндөгү сыноо маанилүү код жолунун бир да бөлүгүн машыктырбайт, жана бул кийинки кайра жүктөөгө чейин туруштук берген оңдоо тууралуу баяндамалардын көбүн түшүндүрөт. Анан төрт кадамды ушул тартипте аткарыңыз.

1. Бирөө киргенге чейин түзмөк домен контроллерун таба аларын nltest /dsgetdc:corp.example.com аркылуу ырастаңыз.
2. Домен кирүүсүн аракет кылыңыз, анан klist аркылуу билет алынганын сураңыз.
3. Түзмөк жаза турган аутентификация журналын жогорудагы эки буйрук менен окуңуз жана пакетти жана ийгиликсиздик шартын белгилеңиз.
4. Бекитилген камдык ыйгарым укук кирүү экранынан дагы деле иштээрин ырастаңыз, анткени чек сыноосу ийгиликсиз болсо, кайтуунун жалгыз жолу ошол.

Берилген ыйгарым укуктар менен файл бөлүшүүнү ачуу да офлайн интерактивдүү кирүүнү түзбөйт, ошондуктан ал жогорудагы кадамдардын ордун баспайт. Эгер уюмга чындап эле байланышсыз кирүү керек болсо, жооп — атайын тандалган шайкеш эсеп жана акыркы чекит дизайны. Эсепти топтон чыгаруу же ар бир ноутбукта бир чектелбеген өзгөчө кирүүнү сактоо — VPN өзгөртүүсү сиздин ордуңузга кабыл ала албаган инсандык саясаттын чечими.

Protected Users документтемеси текшерүүчүнүн жүрүм-турумун жана бул долбоор көз каранды болгон домен чектөөлөрүн сүрөттөйт. Бирөө сапарга чыкканга чейин калыбына келтирүү процессин пландаңыз, анткени муздак жүктөө сыноосу ал машыктырылган жалгыз жер.