Kodėl domeno nešiojamasis kompiuteris priima seną slaptažodį neprisijungęs

Slaptažodžio pakeitimas pasiekia visur vienu metu, išskyrus tą vieną nešiojamąjį kompiuterį, kuris savaitę buvo neprisijungęs. Žiniatinklio paštas priima naują slaptažodį, biuro stalinis kompiuteris jį priima, o nuotolinė mašina vis dar prisijungia su senuoju, kai VPN neveikia. Tai ne antras slaptažodis ir ne katalogo sinchronizavimo klaida. Tai podėlyje saugomas prisijungimo tikrintuvas, darantis tai, kam sukurtas, o sprendimas yra žingsnių seka, ne atstatymas.

Nešiojamasis kompiuteris tikrina podėlyje saugomą tikrintuvą

Prie domeno prijungta Windows laiko vietinį tikrintuvą neseniai sėkmingiems interaktyviems prisijungimams, kad mašina galėtų įsikrauti, kai neatsako nė vienas domeno valdiklis. Tas tikrintuvas išvedamas iš slaptažodžio, koks jis buvo tuo prisijungimo metu. Slaptažodžio pakeitimas kitur atnaujina katalogą, o ne kopiją nešiojamajame kompiuteryje, kuris nuo to laiko su juo nekalbėjo.

Taigi senasis slaptažodis vis dar gali atverti vietinę sesiją, nors jis negalioja jokiam naujam domeno autentifikavimui. Tai du skirtingi pastebėjimai, o jų painiojimas veda prie pakartotinių atstatymų.

Prieš ką nors kita keisdami įsitikinkite, kurie prisijungimo duomenys iš tikrųjų naudojami. Windows Hello PIN, prisijungimas per Entra ID ir tradicinis domeno slaptažodis yra atskiri mechanizmai, o būtent PIN nėra domeno slaptažodis, net kai atrakina tą patį darbalaukį.

Tinklo autentifikavimas nėra interaktyvus prisijungimas

Bendrinamojo aplanko atidarymas su naujuoju slaptažodžiu įrodo, kad tinklo kelias veikia. Tačiau jis neatnaujina interaktyvaus prisijungimo podėlio, nes Windows tinklo ir interaktyvų autentifikavimą laiko atskiromis operacijomis su atskira būsena.

Tikrintuvas atnaujinamas tik tada, kai interaktyvus prisijungimas iš tikrųjų susisiekia su domeno valdikliu; prijungtas diskas ar Outlook raginimas to nepadaro.

Šis skirtumas paaiškina įprastą pranešimą: naudotojas gali skaityti paštą ir atidaryti intranetą, tačiau užrakinimo ekranas vis dar prašo senojo slaptažodžio. Jis taip pat paaiškina, kodėl VPN, paleistas po prisijungimo, negali padėti pradiniam prisijungimui, nes tunelis atsiranda po to, kai sprendimas jau priimtas vietoje.

Gaukite vieną prisijungimą internetu tinkamu metu

Podėlis atnaujinamas, kai naudotojas prisijungia interaktyviai, kol domenas pasiekiamas. Nuotolinei mašinai tai reiškia, kad tunelis turi egzistuoti prieš vertinant prisijungimo duomenis, o ne po to, kai pasirodo darbalaukis.

Patikrinkite, ar diegimas palaiko ryšį prieš prisijungimą arba įrenginio tunelį. Jie sukurti būtent šiam laikui, o naudotojo tunelis jų nepakeičia:

nltest /dsgetdc:corp.example
klist

Jei galinis taškas neturi kelio prieš prisijungimą, naudokite tą palaikomą atkūrimo procesą, kurį dokumentuoja organizacija. Kai kurios aplinkos naudoja prisijungimo, užrakinimo ir atrakinimo seką, laikydamos tunelį atidarytą užrakinimo ekrane; kitos siunčia įrenginį į valdomą atkūrimo žingsnį. Vadovaukitės tuo, kas tinka klientui, ir prieš pasikliaudami juo patikrinkite, ar tunelis išlieka per užrakinimo ekraną.

Apsaugokite kelią atgal

Prieš atsijungdami nuo nuotolinės mašinos nuspręskite, kaip kitas prisijungimas pasieks domeną. Naudotojo tunelis, kuris nugriūva su sesija, gali pašalinti vienintelį kelią, kuriuo rėmėtės, ir tuomet nei senasis, nei naujasis slaptažodis nepadės pereiti užrakinimo ekrano. Turėkite vietinę administratoriaus paskyrą arba nejuostinę konsolę kaip atsarginį variantą. Užrašykite atkūrimo žingsnį ten, kur naudotojas gali jį pasiekti neprisijungęs.

Pagalbai surinkite keturis faktus: kur buvo pakeistas slaptažodis, kurie prisijungimo duomenys vis dar veikia neprisijungus, ar domeno valdiklis pasiekiamas per tunelį ir kokį prisijungimo būdą naudoja nešiojamasis kompiuteris.

Šie keturi atskiria pasenusį tikrintuvą nuo paskyros užrakinimo arba atmesto VPN prisijungimo, kurie biliete atrodo panašiai, bet turi skirtingus sprendimus. Užrakinta paskyra atmes naująjį slaptažodį ir internete, todėl patikrinkite tai prieš kaltindami podėlį.

Uždarykite ratą vienu prisijungimu internetu

Tikslas yra vienas palaikomas interaktyvus prisijungimas, kol domenas pasiekiamas, o po jo – žinoma neprisijungusi būsena. Tas vienintelis įvykis atnaujina tikrintuvą ir užbaigia ciklą, kai slaptažodis keičiamas kiekviename įrenginyje.

Po to patikrinkite būseną pagal podėlyje saugomų prisijungimų skaičių ir domeno valdiklio paiešką:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Jei skaičius lygus nuliui, podėlyje saugomas prisijungimas išjungtas pagal politiką ir neprisijungus elgsena nesikeis, kad ir kiek kartų slaptažodis būtų atstatytas. Tai politikos sprendimas, kurį reikia kelti savininkui, o ne vietoje taikomas apėjimas.