Зошто доменски преносен сметач ја прифаќа старата лозинка офлајн

Промената на лозинката пристигнува насекаде одеднаш, освен на тој еден преносен сметач што беше офлајн една недела. Веб-поштата ја прифаќа новата лозинка, десктоп сметачот во канцеларијата ја прифаќа, а далечниот компјутер сѐ уште се најавува со старата кога VPN е исклучен. Ова не е втора лозинка и не е грешка во синхронизацијата на директориумот. Тоа е кешираниот верификатор за најава што го прави она за што е создаден, а решението е низа чекори, не ресетирање.

Преносниот сметач проверува кеширан верификатор

Windows приклучен на домен чува локален верификатор за неодамнешните успешни интерактивни најави, за да може машината да се подигне кога ниту еден контролер на домен не одговара. Тој верификатор се изведува од лозинката каква што била при таа најава. Менувањето на лозинката на друго место го ажурира директориумот, но не и копијата на преносниот сметач што оттогаш не разговарал со него.

Затоа старата лозинка сѐ уште може да ја отвори локалната сесија, иако е неважечка за секоја нова доменска автентикација. Тоа се две различни набљудувања, а нивното мешање доведува до повторени ресетирања.

Пред да промените нешто друго, потврдете кои акредитиви навистина се користат. PIN на Windows Hello, најава преку Entra ID и традиционална доменска лозинка се одделни механизми, а PIN-от особено не е доменската лозинка дури и кога ја отклучува истата работна површина.

Мрежната автентикација не е интерактивна најава

Отворањето на мрежно споделување со новата лозинка докажува дека мрежната патека работи. Но тоа не го освежува кешот за интерактивна најава, бидејќи Windows ги третира мрежната и интерактивната автентикација како одделни операции со одделна состојба.

Верификаторот се освежува само кога интерактивната најава навистина ќе контактира контролер на домен; мапиран диск или барање од Outlook тоа не го прават.

Оваа разлика го објаснува вообичаениот извештај: корисникот може да чита пошта и да го отвори интранетот, но заклучениот екран сѐ уште ја бара старата лозинка. Таа објаснува и зошто VPN пуштен по најавата не може да помогне на почетната најава, бидејќи тунелот пристигнува откако одлуката веќе е донесена локално.

Обезбедете една онлајн најава во вистинскиот момент

Кешот се освежува кога корисникот се најавува интерактивно додека доменот е достапен. За далечна машина тоа значи дека тунелот мора да постои пред да се оцени акредитивот, а не откако ќе се појави работната површина.

Проверете дали распоредувањето поддржува поврзување пред најава или тунел за уред. Тие се создадени токму за овој момент, а корисничкиот тунел не ги заменува:

nltest /dsgetdc:corp.example
klist

Ако крајната точка нема патека пред најава, користете го поддржаниот процес за обновување што организацијата го документира. Некои средини користат низа поврзување, заклучување и отклучување со тунелот држан отворен на заклучениот екран; други го испраќаат уредот на управуван чекор за обновување. Следете го оној што одговара на клиентот и пред да се потпрете на него, потврдете дека тунелот го преживува заклучениот екран.

Заштитете го патот назад

Пред да се одјавите од далечна машина, одлучете како следната најава ќе стигне до доменот. Кориснички тунел што паѓа со сесијата може да го отстрани единствениот пат на кој сметавте, и тогаш ниту старата ниту новата лозинка нема да ве помине низ заклучениот екран. Држете локална администраторска сметка или надворешна конзола како резерва. Запишете го чекорот за обновување таму каде корисникот може да го достигне без најава.

За поддршка соберете четири факти: каде е сменета лозинката, кој акредитив сѐ уште работи офлајн, дали контролерот на домен е достапен преку тунелот и кој метод на најава го користи преносниот сметач.

Овие четири го одделуваат застарен верификатор од заклучување сметка или одбиена VPN најава, кои во тикет изгледаат слично, а имаат различни решенија. Заклучена сметка ќе ја одбие новата лозинка и онлајн, затоа проверете го тоа пред да го обвините кешот.

Затворете го кругот со една онлајн најава

Целта е една поддржана интерактивна најава додека доменот е достапен, по што следи позната офлајн состојба. Токму тој единечен настан го освежува верификаторот и го завршува циклусот на менување на лозинката на секој уред.

Потоа проверете ја состојбата со бројот на кеширани најави и пребарување на контролер на домен:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ако бројот е нула, кешираната најава е оневозможена со политика и однесувањето офлајн нема да се промени, колку и пати да се ресетира лозинката. Тоа е одлука за политика што треба да се покрене кај сопственикот, а не заобиколно решение за локална примена.