Зошто на преносник со Protected Users му треба VPN пред најавувањето

Преносен сметач, работен профил и хотелска мрежа заедно создаваат циклус за најавување што не го крши никакво повторно обидување. Профилот е во Protected Users, што го спречува Windows да го зачува проверувачот потребен за автентикација на корисникот офлајн. Секој план од видот „прво најавете се, потоа поврзете го тунелот“ има обратен редослед, а заштитата го прави точно она што го ветува. Следното претпоставува традиционален профил на Active Directory на поддржан Windows домаћин.

Што всушност отстранува заштитата

Вообичаено Windows го кешира проверувачот за да може профилот од доменот да се најави додека контролорот на доменот е недостапен. Protected Users го блокира тоа за профилот, што го отстранува офлајн најавувањето во доменот како можност наместо да го направи несигурно.

Ова не е вообичаениот проблем со застарена кеш-меморија и вообичаените средства не важат. Повторното онлајн најавување, уште една промена на лозинката или зголемувањето на бројот на кеширани најавувања нема да ја вратат способноста, бидејќи ниту едно од тие дејства не го создава проверувачот што политиката одбива да го зачува. Профилот се однесува како што е дизајниран, а дизајнот претпоставува дека мрежата е присутна кога Windows ја бара. Третирањето на симптомот како дефект на кеш-меморија е начинот на кој тимовите преградуваат профил што никогаш не бил расипан.

Зошто тунелот мора да постои пред работната површина

Уредот мора да стигне до автентикацијата во доменот во моментот кога Windows ја бара, а тоа е пред да постои каква било корисничка сесија. VPN клиент што се стартува дури откако ќе се појави работната површина остава нова најава да чека патека што никогаш не доаѓа. Зависноста ѝ припаѓа на машината, не на корисник што сѐ уште не се најавил.

Користете поддржан распоред за најавување однапред, договорен со сопствениците на крајните точки и на идентитетот. Тунел на уред Always On VPN автентициран со сертификат на сметачот е соодветен кога управуваниот уред ги исполнува предусловите на тоа распоредување. Поддржаната интеграција на екранот за најавување од добавувач е друга можност. Вообичаен кориснички профил со автоматско активирање не е ниту едното, ниту другото, колку и да изгледа слично во интерфејсот на клиентот.

На таа патека ѝ требаат раздвојување на имиња за доменот, достапен контролор на доменот и оние протоколи за автентикација што профилот смее да ги користи, а ниеден показател „поврзано“ не дава ништо од тоа. Неговите рути и филтри треба да ги носат службите за идентитет и ништо друго што не е потребно, бидејќи тој список на префикси е површината што украден преносник ја добива пред некој да се најави. Одлуките за поделен тунел донесени за корисничкиот тунел не се пренесуваат на тунелот на уредот, затоа прегледајте ги двата одделно.

Достапноста не е компатибилност за автентикација

Тунелот може беспрекорно да пренесува пакети додека автентикацијата во доменот не успева, бидејќи механизмот што се обидува е таков што профилот не смее да го користи. Во домен што ги спроведува ограничувањата на групата, NTLM не е достапен за членовите, а Kerberos бара профил и конфигурација компатибилни со AES. Патеката на пакети не може да го поправи ниту едното. Затоа чист ping до контролор на доменот не е доказ дека најавувањето ќе работи.

Може да бидат вклучени и два система за акредитиви. VPN може да се автентицира кај давател на идентитет додека на Windows одделно му треба најава во доменот, а прифаќањето на првиот не кажува ништо за вториот. „VPN се поврза“ и „корисникот се најави“ се одделни набљудувања, а поправањето на едното не подразбира другото.

Прочитајте ги доказите за автентикација

Собирајте настани од клиентот и од контролор на доменот за истиот обид, а не само од едната страна. Записите на Protected Users се наоѓаат под Applications and Services Logs\Microsoft\Windows\Authentication, а администраторот можеби треба да вклучи запис пред тој да забележи нешто. Поврзете ги временските ознаки со сопствениот запис за поврзување на тунелот, бидејќи грешка во редоследот изгледа како дефект на акредитиви од двете страни.

Првата наредба подолу ги наведува сите записи за автентикација што уредот ги изложува, затоа го читате оној што постои, а не оној што го навел некој блог-запис. Втората ги чита неодамнешните записи кога го знаете името. Барајте го пакетот за автентикација, профилот и условот за неуспех, бидејќи отсутната мрежна патека и одбиениот механизам оставаат различни докази и само еден од нив е VPN проблем. Ако тунелот се кренал по обидот, редоследот бил погрешен што и да кажуваат тие записи.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Докажете ја границата од студено подигање

Изведете го тестот од одјавена или штотуку подигната состојба со ограничен профил и држете отворена одобрена патека за обновување пред да смените нешто за привилегираните корисници. Тестот на веќе работат работна површина не вежба ниту еден дел од важната кодна патека и тоа го објаснува поголемиот дел од извештаите за поправка што се задржала до следното рестартирање. Потоа поминете ги четирите чекори по овој редослед.

1. Потврдете дека уредот може да најде контролор на доменот пред некој да се најави, со nltest /dsgetdc:corp.example.com.
2. Обидете се да се најавите во доменот, потоа прашајте дали воопшто е добиен билет, со klist.
3. Прочитајте го записот за автентикација што уредот го запишува, со двете наредби погоре, и забележете го пакетот и условот за неуспех.
4. Потврдете дека одобрените резервни акредитиви сѐ уште работат од екранот за најавување, бидејќи тоа е единствениот пат назад ако тестот на границата не успее.

Отворањето на споделен ресурс со доставени акредитиви исто така не создава офлајн интерактивно најавување, па не заменува ниту еден чекор погоре. Ако на организацијата навистина ѝ треба најавување без врска, одговорот е намерно избран компатибилен дизајн на профил и крајна точка. Отстранувањето на профилот од групата или држењето на едно неограничено итно најавување на секој преносник е одлука за политика на идентитет што промена на VPN не може да ја донесе наместо вас.

Документацијата за Protected Users го опишува и однесувањето на проверувачот и ограничувањата на доменот од кои зависи овој дизајн. Планирајте го процесот на обновување пред некој да отпатува, бидејќи тестот со студено подигање е единственото место каде што се вежба.