Firwat e Protected Users-Laptop de VPN virum Umelle brauch

E Laptop, e funktionéierende Kont an en Hotelnetzwierk erginn zesummen eng Umellschleif, déi keng Zuel vu Widderhuelungen opbrécht. De Kont ass an Protected Users, wat Windows dovu ofhält, de Verifizéierer ze späicheren, deen et bräicht fir de Benotzer offline z’authentifiéieren. All Plang vun der Form „fir d’éischt umellen, duerno den Tunnel verbannen“ huet d’Reiefolleg verkéiert, an de Schutz mécht genee dat, wat en versprécht. Dat Folgend geet vun engem traditionellen Active Directory-Kont op engem ënnerstëtzten Windows-Host aus.

Wat de Schutz tatsächlech ewechhëlt

Normalerweis cachet Windows e Verifizéierer, sou datt sech en Domaine-Kont umelle kann, wärend den Domaine-Controller net erreechbar ass. Protected Users blockéiert dat fir de Kont, wat d’Offline-Domaine-Umelle als Méiglechkeet ewechhëlt, amplaz se onzouverlässeg ze maachen.

Dëst ass net de gewéinleche Problem vun engem vereelten Cache, an déi gewéinlech Mëttel gëllen hei net. Widderholl Online-Umellen, nach eng Passwuertännerung oder eng méi héich Zuel vu gecachten Umellungen stellt d’Fäegkeet net erëm hier, well keng vun dësen Aktiounen de Verifizéierer erschaaft, deen d’Politik refuséiert ze späicheren. De Kont verhält sech wéi entworf, an den Design geet dovun aus, datt den Netzwierk do ass, wann Windows freet. D’Symptom als Cache-Feeler ze behandelen ass de Wee, op deem d’Team en Profil nei opbaut, dee ni futti war.

Firwat den Tunnel virum Desktop existéiere muss

D’Apparat muss d’Domaine-Authentifizéierung an deem Moment erreechen, an deem Windows se freet, an dat ass virun all Benotzer-Sessioun. En VPN-Client, deen eréischt nom Erschéngen vum Desktop start, léisst eng nei Umellung op e Wee waarden, deen ni kënnt. D’Ofhängegkeet gehéiert zur Maschinn, net zu engem Benotzer, dee sech nach net ugemellt huet.

Benotzt eng ënnerstëtzten Upstellung virun dem Umellen, déi mat den Endpunkt- an Identitéits-Verantwortlechen ofgestëmmt ass. En Always On VPN-Apparat-Tunnel, dee mat engem Computerzertifikat authentifizéiert gëtt, kënnt a Fro, wann den verwalteten Apparat d’Virussiichtunge vun där Asazstellung erfëllt. D’ënnerstëtzte Umellbildschierm-Integratioun vun engem Fournisseur ass eng aner Méiglechkeet. En normale Benotzerprofil mat engem automateschen Ausléiser ass keng vun deenen zwou, sou ähnlech wéi en an der Client-Oberfläch och ausgesäit.

Dee Wee brauch Numm-Opléisung fir d’Domaine, en erreechbaren Domaine-Controller an déi Authentifizéierungsprotokoller, déi de Kont benotze kann, an keen Indicator „verbonnen“ liwwert dat. Seng Routen a Filtere sollten d’Identitéitsservicer droen an soss näischt wat net néideg ass, well déi Präfixlëscht ass d’Uewerfläch, déi e geklaute Laptop kritt, ier sech een umellt. Split-Tunnel-Entscheedungen fir den Benotzer-Tunnel gëllen net fir den Apparat-Tunnel, préift déi zwou also getrennt.

Erreechbarkeet ass keng Authentifizéierungs-Kompatibilitéit

En Tunnel kann Pakete perfekt droen, während d’Domaine-Authentifizéierung feelt, well de Mechanismus, dee versicht gëtt, een ass, deen de Kont net benotze kann. An enger Domaine, déi d’Restriktioune vun der Grupp duerchsetzt, ass NTLM fir Memberen net disponibel an de Kerberos brauch e Kont an eng Konfiguratioun, déi mat AES kompatibel sinn. E Paketwee kann keen vun deenen zwou reparéieren. Dofir ass en proppere Ping op en Domaine-Controller keen Beweis, datt d’Umelle funktionéiert.

Et kënnen och zwou Umeldungsinformatioune-Systemer am Spill sinn. D’VPN kann sech bei engem Identitéits-Provider authentifizéieren, während Windows separat eng Domaine-Umelle brauch, an d’Acceptatioun vun der éischter seet näischt iwwer déi zweet. „D’VPN ass verbonnen“ an „de Benotzer ass ugemellt“ sinn getrennte Observatiounen, an déi eng ze flicken heescht net déi aner.

Liest d’Beweiser vun der Authentifizéierung

Sammelt Evenementer vum Client a vun engem Domaine-Controller fir deeselwechte Versuch, net just vun enger Säit. D’Protected Users-Loggen leien ënner Applications and Services Logs\Microsoft\Windows\Authentication, an en Administrateur muss eventuell e Log aschalten, ier eppes opgezeechent gëtt. Korreléiert d’Zäitstempel mat dem Verbindungslog vum Tunnel selwer, well e Reiefollegfeeler vu béide Säiten aus wéi en Umeldungsfeeler ausgesäit.

Den éischten Uerder hei drënner lëscht all Authentifizéierungslog op, deen den Apparat ausdréckt, sou datt dir deen liest, deen et gëtt, an net deen, deen e Blogpost genannt huet. Den zweeten liest rezent Androuen, wann dir den Numm kennt. Sicht no dem Authentifizéierungspak, dem Kont an der Feelbedingung, well ee fehlenden Netzwierkwee an ee verworfene Mechanismus ënnerschiddlech Beweiser hannerloossen an nëmmen deen een dervu en VPN-Problem ass. Wann den Tunnel no dem Versuch eropkomm ass, war d’Reiefolleg falsch, egal wat déi Androuen soen.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Beweist d’Grenz vun engem kale Start

Führt den Test vun engem ofgemellten oder just gestarteten Zoustand mat engem agexlimitläichten Kont duerch, a haalt en approuvéierte Recuperatiounswee op, ier dir eppes fir privilegéiert Benotzer ännert. En Test op engem Desktop, deen schonn leeft, übt keen Deel vum Codewee, op deen et ukënnt, an dat erkläert déi meescht Berichter iwwer eng Korrektur, déi bis zum nächsten Neistart gehal huet. Schafft duerno déi véier Schrëtt an dëser Reiefolleg of.

1. Bestätegt, datt den Apparat en Domaine-Controller fënnt, ier sech een umellt, mam nltest /dsgetdc:corp.example.com.
2. Versicht d’Domaine-Umelle, a freet duerno, ob iwwerhaapt en Ticket kritt gouf, mam klist.
3. Liest den Authentifizéierungslog, deen den Apparat opzeechent, mat den zwéin Uerderen uewendriwwer, a notéiert d’Pak an d’Feelbedingung.
4. Bestätegt, datt déi approuvéiert Recuperatiouns-Umeldung vum Umellbildschierm aus nach funktionéiert, well dat deen eenzege Wee zréck ass, wann den Grenztest feelt.

Eng Dateifreigab mat iwwergiwwenen Umeldungsinformatiounen opzemaachen, erschaaft och keng offline interaktiv Umelle, also ersetzt et keen vun de Schrëtt uewendriwwer. Wann d’Organisatioun wierklech eng Umelle ouni Verbindung brauch, ass d’Äntwert en kompatibelen Kont- an Endpunkt-Design, dee bewosst gewielt gouf. De Kont aus der Grupp huelen oder op all Laptop eng onbeschränkt Noutfall-Umelle behalen ass eng Entscheedung vun der Identitéitspolitik, déi eng VPN-Ännerung net fir Iech ka huelen.

D’Dokumentatioun iwwer Protected Users beschreift souwuel d’Verhalen vum Verifizéierer wéi och d’Domaine-Restriktiounen, vun deenen dësen Design ofhänkt. Plangt de Recuperatiounsprozess, ier een op d’Rees geet, well den Test vum kale Start déi eenzeg Plaz ass, wou en geübt gëtt.