Protected Users ലാപ്ടോപ്പിന് സൈൻ-ഇന്നിന് മുൻപ് VPN എന്തിന് വേണം

ലാപ്ടോപ്പ്, പ്രവർത്തിക്കുന്ന അക്കൗണ്ട്, ഹോട്ടൽ നെറ്റ്വർക്ക് എന്നിവ ചേർന്ന് ഏത് വീണ്ടും ശ്രമത്തിലും തകരാത്ത ഒരു സൈൻ-ഇൻ ചക്രം ഉണ്ടാക്കുന്നു. അക്കൗണ്ട് Protected Users-ൽ ആണ്, ഇത് ഉപയോക്താവിനെ ഓഫ്ലൈനിൽ പ്രാമാണീകരിക്കാൻ ആവശ്യമായ പരിശോധകൻ Windows സംഭരിക്കുന്നതിൽ നിന്ന് തടയുന്നു. «ആദ്യം സൈൻ ഇൻ ചെയ്യുക, പിന്നീട് ടണൽ ബന്ധിപ്പിക്കുക» എന്ന രീതിയിലുള്ള ഏത് പദ്ധതിയിലും ക്രമം തലകീഴാണ്, സംരക്ഷണം വാഗ്ദാനം ചെയ്തത് കൃത്യമായി ചെയ്യുന്നു. തുടർന്നുള്ളത് പിന്തുണയുള്ള Windows ഹോസ്റ്റിലെ പരമ്പരാഗത Active Directory അക്കൗണ്ട് അനുമാനിക്കുന്നു.

സംരക്ഷണം യഥാർത്ഥത്തിൽ എന്താണ് നീക്കം ചെയ്യുന്നത്

സാധാരണയായി Windows പരിശോധകൻ കാഷ് ചെയ്യുന്നു, അതുവഴി ഡൊമെയിൻ കൺട്രോളർ ലഭ്യമല്ലാത്തപ്പോഴും ഡൊമെയിൻ അക്കൗണ്ടിന് സൈൻ ഇൻ ചെയ്യാം. Protected Users അക്കൗണ്ടിനായി അത് തടയുന്നു, ഇത് ഓഫ്ലൈൻ ഡൊമെയിൻ സൈൻ-ഇൻ അവിശ്വസനീയമാക്കുന്നതിന് പകരം സാധ്യതയായി നീക്കം ചെയ്യുന്നു.

ഇത് സാധാരണ പഴയ-കാഷ് പ്രശ്നമല്ല, സാധാരണ പരിഹാരങ്ങൾ ഇവിടെ ബാധകമല്ല. ആവർത്തിച്ച് ഓൺലൈൻ സൈൻ ഇൻ ചെയ്യുന്നതോ, വീണ്ടും പാസ്വേഡ് മാറ്റുന്നതോ, കാഷ് ചെയ്ത സൈൻ-ഇന്നുകളുടെ എണ്ണം കൂട്ടുന്നതോ കഴിവ് പുനഃസ്ഥാപിക്കില്ല, കാരണം ആ പ്രവർത്തനങ്ങളിൽ ഒന്നും നയം സംഭരിക്കാൻ വിസമ്മതിക്കുന്ന പരിശോധകൻ സൃഷ്ടിക്കുന്നില്ല. അക്കൗണ്ട് രൂപകൽപ്പന ചെയ്തതുപോലെ പ്രവർത്തിക്കുന്നു, രൂപകൽപ്പന Windows ചോദിക്കുന്ന സമയത്ത് നെറ്റ്വർക്ക് ഉണ്ടെന്ന് അനുമാനിക്കുന്നു. ലക്ഷണത്തെ കാഷ് തകരാറായി കാണുന്നത് ഒരിക്കലും തകർന്നിട്ടില്ലാത്ത ഒരു പ്രൊഫൈൽ ടീമുകൾ വീണ്ടും നിർമ്മിക്കുന്ന വഴിയാണ്.

ടണൽ ഡെസ്ക്ടോപ്പിന് മുൻപ് ഉണ്ടായിരിക്കേണ്ടത് എന്തുകൊണ്ട്

Windows ആവശ്യപ്പെടുന്ന നിമിഷത്തിൽ, അതായത് ഒരു ഉപയോക്തൃ സെഷനും നിലവിലില്ലാത്തതിന് മുൻപ്, ഉപകരണം ഡൊമെയിൻ പ്രാമാണീകരണത്തിൽ എത്തണം. ഡെസ്ക്ടോപ്പ് പ്രത്യക്ഷപ്പെട്ടതിന് ശേഷം മാത്രം ആരംഭിക്കുന്ന VPN ക്ലയന്റ് പുതിയ സൈൻ-ഇന്നിനെ ഒരിക്കലും വരാത്ത ഒരു വഴിക്കായി കാത്തിരിക്കാൻ വിടുന്നു. ആശ്രിതത്വം യന്ത്രത്തിന്റേതാണ്, ഇതുവരെ ലോഗിൻ ചെയ്യാത്ത ഉപയോക്താവിന്റേതല്ല.

എൻഡ്പോയിന്റ്, ഐഡന്റിറ്റി ഉടമകളുമായി യോജിച്ച പിന്തുണയുള്ള പ്രീ-ലോഗിൻ ക്രമീകരണം ഉപയോഗിക്കുക. കമ്പ്യൂട്ടർ സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് പ്രാമാണീകരിക്കുന്ന Always On VPN ഉപകരണ ടണൽ, മാനേജ് ചെയ്യുന്ന ഉപകരണം ആ വിന്യാസത്തിന്റെ മുൻവ്യവസ്ഥകൾ പാലിക്കുമ്പോൾ യോഗ്യമാണ്. വെണ്ടറുടെ പിന്തുണയുള്ള സൈൻ-ഇൻ സ്ക്രീൻ സംയോജനം മറ്റൊരു മാർഗമാണ്. സ്വയമേവയുള്ള ട്രിഗറുള്ള സാധാരണ ഉപയോക്തൃ പ്രൊഫൈൽ ഇവ രണ്ടുമല്ല, ക്ലയന്റ് ഇന്റർഫേസിൽ എത്ര സമാനമായി കണ്ടാലും.

ആ വഴിക്ക് ഡൊമെയ്നിനുള്ള നാമ വിശകലനം, ലഭ്യമായ ഡൊമെയിൻ കൺട്രോളർ, അക്കൗണ്ടിന് ഉപയോഗിക്കാവുന്ന പ്രാമാണീകരണ പ്രോട്ടോക്കോളുകൾ എന്നിവ ആവശ്യമാണ്, «ബന്ധിപ്പിച്ചു» എന്ന സൂചകം അവയൊന്നും നൽകുന്നില്ല. അതിന്റെ റൂട്ടുകളും ഫിൽട്ടറുകളും ഐഡന്റിറ്റി സേവനങ്ങൾ മാത്രം കൊണ്ടുപോകണം, ആവശ്യമില്ലാത്തത് ഒന്നും അല്ല, കാരണം ആ പ്രിഫിക്സ് പട്ടികയാണ് മോഷ്ടിക്കപ്പെട്ട ലാപ്ടോപ്പിന് ആരും ലോഗിൻ ചെയ്യുന്നതിന് മുൻപ് ലഭിക്കുന്ന ഉപരിതലം. ഉപയോക്തൃ ടണലിനായി എടുത്ത സ്പ്ലിറ്റ്-ടണൽ തീരുമാനങ്ങൾ ഉപകരണ ടണലിൽ ബാധകമല്ല, അതിനാൽ രണ്ടും വെവ്വേറെ പരിശോധിക്കുക.

ലഭ്യത പ്രാമാണീകരണ അനുയോജ്യതയല്ല

ടണൽ പാക്കറ്റുകൾ കുറ്റമറ്റതായി കൊണ്ടുപോകാം, പക്ഷേ ഡൊമെയിൻ പ്രാമാണീകരണം പരാജയപ്പെടാം, കാരണം ശ്രമിക്കുന്ന സംവിധാനം അക്കൗണ്ടിന് ഉപയോഗിക്കാൻ കഴിയാത്ത ഒന്നാണ്. ഗ്രൂപ്പിന്റെ നിയന്ത്രണങ്ങൾ നടപ്പാക്കുന്ന ഡൊമെയ്നിൽ അംഗങ്ങൾക്ക് NTLM ലഭ്യമല്ല, Kerberos-ന് AES-അനുയോജ്യമായ അക്കൗണ്ടും കോൺഫിഗറേഷനും വേണം. പാക്കറ്റ് വഴിക്ക് അവയൊന്നും ശരിയാക്കാനാകില്ല. അതുകൊണ്ടാണ് ഡൊമെയിൻ കൺട്രോളറിലേക്കുള്ള വ്യക്തമായ ping സൈൻ-ഇൻ പ്രവർത്തിക്കും എന്നതിന്റെ തെളിവല്ലാത്തത്.

രണ്ട് ക്രെഡൻഷ്യൽ സംവിധാനങ്ങളും ഉണ്ടായേക്കാം. VPN ഒരു ഐഡന്റിറ്റി ദാതാവിനോട് പ്രാമാണീകരിക്കാം, അതേസമയം Windows-ന് വെവ്വേറെ ഡൊമെയിൻ ലോഗോൺ ആവശ്യമാണ്, ആദ്യത്തിന്റെ സ്വീകാര്യത രണ്ടാമത്തേതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. «VPN ബന്ധിപ്പിച്ചു», «ഉപയോക്താവ് സൈൻ ഇൻ ചെയ്തു» എന്നിവ വെവ്വേറെ നിരീക്ഷണങ്ങളാണ്, ഒന്ന് ശരിയാക്കുന്നത് മറ്റൊന്നിനെ സൂചിപ്പിക്കുന്നില്ല.

പ്രാമാണീകരണ തെളിവുകൾ വായിക്കുക

ഒരേ ശ്രമത്തിനായി ക്ലയന്റിൽ നിന്നും ഡൊമെയിൻ കൺട്രോളറിൽ നിന്നും ഇവന്റുകൾ ശേഖരിക്കുക, ഒരു വശത്ത് നിന്ന് മാത്രമല്ല. Protected Users ലോഗുകൾ Applications and Services Logs\Microsoft\Windows\Authentication-ന് കീഴിലാണ്, എന്തെങ്കിലും രേഖപ്പെടുത്തുന്നതിന് മുൻപ് അഡ്മിനിസ്ട്രേറ്ററിന് ഒരു ലോഗ് ഓണാക്കേണ്ടി വന്നേക്കാം. സമയ മുദ്രകൾ ടണലിന്റെ സ്വന്തം കണക്ഷൻ ലോഗുമായി ബന്ധിപ്പിക്കുക, കാരണം ക്രമത്തിലെ പിഴവ് ഇരു വശത്തുനിന്നും ക്രെഡൻഷ്യൽ തകരാറായി തോന്നും.

താഴെയുള്ള ആദ്യ കമാൻഡ് ഉപകരണം വെളിപ്പെടുത്തുന്ന എല്ലാ പ്രാമാണീകരണ ലോഗുകളും പട്ടികപ്പെടുത്തുന്നു, അതിനാൽ ബ്ലോഗ് പോസ്റ്റ് പേരിട്ടതിനെയല്ല, നിലവിലുള്ളതിനെയാണ് നിങ്ങൾ വായിക്കുന്നത്. രണ്ടാമത്തേത് പേര് അറിഞ്ഞതിന് ശേഷം സമീപകാല എൻട്രികൾ വായിക്കുന്നു. പ്രാമാണീകരണ പാക്കേജ്, അക്കൗണ്ട്, പരാജയ വ്യവസ്ഥ എന്നിവ നോക്കുക, കാരണം ഇല്ലാത്ത നെറ്റ്വർക്ക് വഴിയും നിരസിക്കപ്പെട്ട സംവിധാനവും വ്യത്യസ്ത തെളിവുകൾ അവശേഷിപ്പിക്കുന്നു, അവയിൽ ഒന്ന് മാത്രമാണ് VPN പ്രശ്നം. ശ്രമത്തിന് ശേഷമാണ് ടണൽ ഉയർന്നതെങ്കിൽ, ആ എൻട്രികൾ എന്ത് പറഞ്ഞാലും ക്രമം തെറ്റായിരുന്നു.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

തണുത്ത ബൂട്ടിൽ നിന്ന് അതിർത്തി തെളിയിക്കുക

സൈൻ ഔട്ട് ചെയ്തതോ പുതുതായി ബൂട്ട് ചെയ്തതോ ആയ അവസ്ഥയിൽ നിന്ന് പരിമിത അക്കൗണ്ട് ഉപയോഗിച്ച് പരീക്ഷണം നടത്തുക, പ്രത്യേകാവകാശ ഉപയോക്താക്കൾക്കായി എന്തെങ്കിലും മാറ്റുന്നതിന് മുൻപ് അംഗീകൃത വീണ്ടെടുക്കൽ വഴി തുറന്ന് സൂക്ഷിക്കുക. ഇതിനകം പ്രവർത്തിക്കുന്ന ഡെസ്ക്ടോപ്പിലെ പരീക്ഷണം പ്രധാന കോഡ് വഴിയുടെ ഒരു ഭാഗവും പരിശീലിപ്പിക്കുന്നില്ല, അടുത്ത റീബൂട്ട് വരെ നിന്ന തിരുത്തിനെക്കുറിച്ചുള്ള മിക്ക റിപ്പോർട്ടുകളും ഇത് വിശദീകരിക്കുന്നു. തുടർന്ന് നാല് ഘട്ടങ്ങൾ ഈ ക്രമത്തിൽ പൂർത്തിയാക്കുക.

1. ആരും സൈൻ ഇൻ ചെയ്യുന്നതിന് മുൻപ് ഉപകരണത്തിന് ഡൊമെയിൻ കൺട്രോളർ കണ്ടെത്താനാകുമെന്ന് nltest /dsgetdc:corp.example.com ഉപയോഗിച്ച് സ്ഥിരീകരിക്കുക.
2. ഡൊമെയിൻ സൈൻ-ഇൻ ശ്രമിക്കുക, പിന്നീട് klist ഉപയോഗിച്ച് ടിക്കറ്റ് ലഭിച്ചോ എന്ന് ചോദിക്കുക.
3. ഉപകരണം രേഖപ്പെടുത്തുന്ന പ്രാമാണീകരണ ലോഗ് മുകളിലെ രണ്ട് കമാൻഡുകൾ ഉപയോഗിച്ച് വായിക്കുക, പാക്കേജും പരാജയ വ്യവസ്ഥയും രേഖപ്പെടുത്തുക.
4. അംഗീകൃത വീണ്ടെടുക്കൽ ക്രെഡൻഷ്യൽ ഇപ്പോഴും സൈൻ-ഇൻ സ്ക്രീനിൽ നിന്ന് പ്രവർത്തിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക, കാരണം അതിർത്തി പരീക്ഷണം പരാജയപ്പെട്ടാൽ തിരികെ വരാനുള്ള ഏക വഴി അതാണ്.

നൽകിയ ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ച് ഫയൽ ഷെയർ തുറക്കുന്നതും ഓഫ്ലൈൻ ഇന്ററാക്ടീവ് ലോഗോൺ സൃഷ്ടിക്കുന്നില്ല, അതിനാൽ അത് മുകളിലെ ഏത് ഘട്ടത്തിനും പകരമല്ല. സംഘടനയ്ക്ക് യഥാർത്ഥത്തിൽ ബന്ധമില്ലാത്ത സൈൻ-ഇൻ ആവശ്യമാണെങ്കിൽ, ഉത്തരം ബോധപൂർവം തിരഞ്ഞെടുത്ത അനുയോജ്യമായ അക്കൗണ്ട്, എൻഡ്പോയിന്റ് രൂപകൽപ്പനയാണ്. അക്കൗണ്ട് ഗ്രൂപ്പിൽ നിന്ന് നീക്കുന്നതോ ഓരോ ലാപ്ടോപ്പിലും ഒരു പരിധിയില്ലാത്ത അടിയന്തര ലോഗിൻ സൂക്ഷിക്കുന്നതോ, VPN മാറ്റത്തിന് നിങ്ങൾക്ക് വേണ്ടി എടുക്കാനാകാത്ത ഐഡന്റിറ്റി നയ തീരുമാനമാണ്.

Protected Users ഡോക്യുമെന്റേഷൻ പരിശോധകന്റെ പെരുമാറ്റവും ഈ രൂപകൽപ്പന ആശ്രയിക്കുന്ന ഡൊമെയിൻ നിയന്ത്രണങ്ങളും വിവരിക്കുന്നു. ആരെങ്കിലും യാത്ര ചെയ്യുന്നതിന് മുൻപ് വീണ്ടെടുക്കൽ പ്രക്രിയ ആസൂത്രണം ചെയ്യുക, കാരണം തണുത്ത-ബൂട്ട് പരീക്ഷണം അത് പരിശീലിക്കുന്ന ഏക സ്ഥലമാണ്.