Kodėl „Protected Users“ nešiojamajam kompiuteriui reikia VPN prieš prisijungimą

Nešiojamasis kompiuteris, veikianti paskyra ir viešbučio tinklas kartu sudaro prisijungimo kilpą, kurios nesutrauko joks pakartotinis bandymas. Paskyra yra „Protected Users“, o tai neleidžia Windows išsaugoti tikrintojo, kurio prireiktų vartotojo autentifikavimui neprisijungus. Bet koks planas, kurio forma „pirmiausia prisijunkite, paskui prijunkite tunelį“, turi atvirkštinę tvarką, o apsauga daro būtent tai, ką žada. Toliau daroma prielaida, kad naudojama tradicinė „Active Directory“ paskyra palaikomame „Windows“ kompiuteryje.

Ką apsauga iš tikrųjų pašalina

Paprastai Windows saugo tikrintoją podėlyje, kad domeno paskyra galėtų prisijungti, kai domeno valdiklis nepasiekiamas. „Protected Users“ tai blokuoja paskyrai, o tai pašalina prisijungimą prie domeno neprisijungus kaip galimybę, o ne padaro jį nepatikimą.

Tai ne įprasta pasenėjusio podėlio problema, ir įprastos priemonės čia netaikomos. Pakartotinis prisijungimas internetu, dar vienas slaptažodžio keitimas ar podėlyje saugomų prisijungimų skaičiaus didinimas neatkurs galimybės, nes nė vienas iš šių veiksmų nesukuria tikrintojo, kurio politika atsisako saugoti. Paskyra elgiasi taip, kaip suprojektuota, o projektas daro prielaidą, kad tinklas yra tada, kai Windows jo klausia. Simptomo traktavimas kaip podėlio gedimo yra kelias, kuriuo komandos atkuria profilį, kuris niekada nebuvo sugedęs.

Kodėl tunelis turi egzistuoti prieš darbalaukį

Įrenginys turi pasiekti domeno autentifikavimą tą akimirką, kai Windows to paprašo, o tai yra prieš bet kokią vartotojo sesiją. VPN klientas, kuris paleidžiamas tik po to, kai pasirodo darbalaukis, palieka naują prisijungimą laukti kelio, kuris niekada neateina. Priklausomybė priklauso mašinai, o ne vartotojui, kuris dar neprisijungė.

Naudokite palaikomą prisijungimo išankstinę schemą, suderintą su galinių taškų ir tapatybės savininkais. „Always On VPN“ įrenginio tunelis, autentifikuojamas kompiuterio sertifikatu, tinka, kai valdomas įrenginys atitinka to diegimo reikalavimus. Tiekėjo palaikoma prisijungimo ekrano integracija yra kita galimybė. Įprastas vartotojo profilis su automatiniu paleidikliu nėra nė viena iš jų, kad ir kaip panašiai jis atrodo kliento sąsajoje.

Tam keliui reikia vardų sprendimo domenui, pasiekiamo domeno valdiklio ir tų autentifikavimo protokolų, kuriuos paskyra gali naudoti, ir joks indikatorius „prijungta“ to nesuteikia. Jo maršrutai ir filtrai turėtų perduoti tapatybės paslaugas ir nieko kito, kas nereikalinga, nes tas priešdėlių sąrašas yra paviršius, kurį pavogtas nešiojamasis kompiuteris gauna prieš kam nors prisijungiant. Vartotojo tuneliui priimti padalinto tunelio sprendimai neperkeliami į įrenginio tunelį, todėl peržiūrėkite abu atskirai.

Pasiekiamumas nėra autentifikavimo suderinamumas

Tunelis gali nepriekaištingai perduoti paketus, o domeno autentifikavimas gali nepavykti, nes bandomas mechanizmas yra toks, kurio paskyra negali naudoti. Domeno aplinkoje, kuri taiko grupės apribojimus, NTLM nariams neprieinamas, o „Kerberos“ reikia su AES suderinamos paskyros ir konfigūracijos. Paketų kelias negali pataisyti nė vieno. Todėl švarus ping į domeno valdiklį nėra įrodymas, kad prisijungimas veiks.

Gali veikti ir dvi kredencialų sistemos. VPN gali autentifikuotis pas tapatybės teikėją, o Windows atskirai reikia domeno prisijungimo, ir pirmojo priėmimas nieko nesako apie antrąjį. „VPN prisijungė“ ir „vartotojas prisijungė“ yra atskiri stebėjimai, o vieno sutvarkymas nereiškia kito.

Perskaitykite autentifikavimo įrodymus

Rinkite įvykius iš kliento ir iš domeno valdiklio tam pačiam bandymui, o ne tik iš vienos pusės. „Protected Users“ žurnalai yra po Applications and Services Logs\Microsoft\Windows\Authentication, ir administratoriui gali tekti įjungti žurnalą, kol jis ką nors įrašys. Koreliuokite laiko žymas su paties tunelio ryšio žurnalu, nes tvarkos klaida iš abiejų pusių atrodo kaip kredencialų gedimas.

Pirmoji komanda žemiau išvardija kiekvieną autentifikavimo žurnalą, kurį įrenginys atskleidžia, kad skaitytumėte tą, kuris egzistuoja, o ne tą, kurį pavadino koks nors tinklaraščio įrašas. Antroji nuskaito naujausius įrašus, kai žinote pavadinimą. Ieškokite autentifikavimo paketo, paskyros ir gedimo sąlygos, nes trūkstamas tinklo kelias ir atmestas mechanizmas palieka skirtingus įrodymus, ir tik vienas iš jų yra VPN problema. Jei tunelis pakilo po bandymo, tvarka buvo neteisinga, ką bebūtų sakoma tuose įrašuose.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Įrodykite ribą iš šaltojo paleidimo

Atlikite testą iš atsijungusios ar ką tik paleistos būsenos su ribota paskyra ir laikykite atvirą patvirtintą atkūrimo kelią, prieš ką nors keisdami privilegijuotiems vartotojams. Testas jau veikiančiame darbalaukyje nepratina nė vienos svarbios kodo kelio dalies, ir tai paaiškina daugumą pranešimų apie pataisą, kuri laikėsi iki kito paleidimo. Tada pereikite keturis veiksmus šia tvarka.

1. Patvirtinkite, kad įrenginys gali rasti domeno valdiklį prieš kam nors prisijungiant, naudodami nltest /dsgetdc:corp.example.com.
2. Pabandykite prisijungti prie domeno, tada paklauskite, ar bilietas iš viso buvo gautas, naudodami klist.
3. Perskaitykite autentifikavimo žurnalą, kurį įrenginys įrašo, dviem aukščiau pateiktomis komandomis, ir pažymėkite paketą bei gedimo sąlygą.
4. Patvirtinkite, kad patvirtintas atsarginis kredencialas vis dar veikia prisijungimo ekrane, nes tai vienintelis kelias atgal, jei ribos testas nepavyksta.

Failų bendrinimo atidarymas su pateiktais kredencialais taip pat nesukuria interaktyvaus prisijungimo neprisijungus, todėl jis nepakeičia nė vieno aukščiau pateikto veiksmo. Jei organizacijai tikrai reikia prisijungimo be ryšio, atsakymas yra sąmoningai pasirinktas suderinamas paskyros ir galinio taško projektas. Paskyros pašalinimas iš grupės arba vieno neriboto avarinio prisijungimo palaikymas kiekviename nešiojamajame kompiuteryje yra tapatybės politikos sprendimas, kurio VPN pakeitimas negali priimti už jus.

„Protected Users“ dokumentacija aprašo ir tikrintojo elgseną, ir domeno apribojimus, nuo kurių priklauso šis projektas. Suplanuokite atkūrimo procesą prieš kam nors išvykstant, nes šaltojo paleidimo testas yra vienintelė vieta, kur jis praktikuojamas.