Protected Users бүхий зөөврийн компьютерт нэвтрэхээс өмнө VPN яагаад хэрэгтэй вэ

Зөөврийн компьютер, ажиллаж буй бүртгэл, зочид буудлын сүлжээ гурав нийлээд ямар ч давтан оролдлогоор эвдэгдэхгүй нэвтрэх цикл үүсгэдэг. Бүртгэл нь Protected Users-д байдаг бөгөөд энэ нь Windows-д хэрэглэгчийг офлайнаар баталгаажуулахад шаардагдах баталгаажуулагчийг хадгалахыг хориглодог. «Эхлээд нэвтэр, дараа нь туннелийг холбо» хэлбэрийн аливаа төлөвлөгөөний дараалал эсрэг байдаг бөгөөд хамгаалалт амласнаа яг хийдэг. Дараах нь дэмжигдсэн Windows хост дээрх уламжлалт Active Directory бүртгэлийг тооцно.

Хамгаалалт бодитоор юуг арилгадаг вэ

Ихэвчлэн Windows баталгаажуулагчийг кэшлэдэг тул домэйн бүртгэл нь домэйны хянагч хүрэхгүй үед ч нэвтэрч чаддаг. Protected Users үүнийг бүртгэлийн хувьд блоклодог бөгөөд энэ нь офлайн домэйн нэвтрэлтийг найдваргүй болгохын оронд боломж гэдгээс нь хасдаг.

Энэ нь хуучирсан кэшийн ердийн асуудал биш бөгөөд ердийн арга хэмжээ энд хамаарахгүй. Дахин дахин онлайн нэвтрэх, нууц үгийг дахин солих эсвэл кэшлэгдсэн нэвтрэлтийн тоог нэмэгдүүлэх нь чадварыг сэргээхгүй, учир нь эдгээр үйлдлийн аль нь ч бодлого хадгалахаас татгалздаг баталгаажуулагчийг үүсгэдэггүй. Бүртгэл нь зохион бүтээсэн ёсоор ажиллаж байгаа бөгөөд зохиомж нь Windows асуух үед сүлжээ байгаа гэж үздэг. Симптомыг кэшийн гэмтэл гэж үзэх нь баг хэзээ ч эвдэгдээгүй профайлыг дахин бүтээх зам юм.

Туннель яагаад ажлын талаас өмнө байх ёстой вэ

Төхөөрөмж нь Windows шаардсан тэр мөчид, өөрөөр хэлбэл ямар ч хэрэглэгчийн сесс үүсэхээс өмнө домэйны баталгаажуулалтад хүрэх ёстой. Ажлын тал гарсны дараа л эхэлдэг VPN клиент нь шинэ нэвтрэлтийг хэзээ ч ирэхгүй зам хүлээлгэн үлдээдэг. Хамаарал нь машинд хамаарах бөгөөд хараахан нэвтрээгүй хэрэглэгчид хамаарахгүй.

Төгсгөлийн цэг ба таних тэмдгийн эзэдтэй тохиролцсон дэмжигдсэн нэвтрэлтийн өмнөх зохицуулалтыг ашиглана уу. Компьютерийн гэрчилгээгээр баталгаажсан Always On VPN төхөөрөмжийн туннель нь удирдлагатай төхөөрөмж тухайн байршуулалтын урьдчилсан нөхцөлийг хангаж байвал тохиромжтой. Нийлүүлэгчийн дэмжигдсэн нэвтрэх дэлгэцийн интеграци нь өөр сонголт юм. Автомат триггер бүхий энгийн хэрэглэгчийн профайл нь аль нь ч биш, клиентийн интерфейст хэрхэн төстэй харагдаж байгаагаас үл хамааран.

Тэр замд домэйны нэрийн шийдвэрлэлт, хүрэх боломжтой домэйны хянагч болон бүртгэл ашиглаж болох баталгаажуулалтын протоколууд хэрэгтэй бөгөөд «холбогдсон» гэсэн заагч эдгээрийн алийг ч өгдөггүй. Түүний маршрут ба шүүлтүүр нь таних тэмдгийн үйлчилгээг зөөх ёстой бөгөөд шаардлагагүй өөр юу ч үгүй, учир нь тэр угтварын жагсаалт нь хулгайлагдсан зөөврийн компьютер хэн нэгэн нэвтрэхээс өмнө авдаг гадаргуу юм. Хэрэглэгчийн туннельд авсан хуваасан туннелийн шийдвэрүүд төхөөрөмжийн туннельд шилжихгүй тул хоёуланг нь тус тусад нь хянана уу.

Хүртээмж нь баталгаажуулалтын нийцэл биш

Туннель пакетуудыг төгс зөөж чадах боловч домэйны баталгаажуулалт бүтэлгүйтдэг, учир нь оролдож буй механизм нь бүртгэл ашиглаж болохгүй механизм юм. Бүлгийн хязгаарлалтыг хэрэгжүүлдэг домэйнд гишүүдэд NTLM боломжгүй бөгөөд Kerberos-д AES-нийцэлтэй бүртгэл ба тохиргоо хэрэгтэй. Пакетын зам аль нэгийг ч засахгүй. Тиймээс домэйны хянагч руу цэвэр ping нь нэвтрэлт ажиллана гэсэн баталгаа биш.

Хоёр итгэмжлэлийн систем зэрэг ажиллаж болно. VPN нь таних тэмдгийн нийлүүлэгчид баталгаажиж болох боловч Windows-д тусад нь домэйн нэвтрэлт хэрэгтэй, эхнийхийн хүлээн зөвшөөрөлт хоёр дахь тухай юу ч хэлэхгүй. «VPN холбогдлоо» ба «хэрэглэгч нэвтэрлээ» нь тусдаа ажиглалт бөгөөд нэгийг засах нь нөгөөг илэрхийлэхгүй.

Баталгаажуулалтын нотолгоог уншина уу

Нэг оролдлогын хувьд үйл явдлуудыг зөвхөн нэг талаас нь биш, клиент ба домэйны хянагч хоёулаас нь цуглуулна уу. Protected Users-ийн логууд Applications and Services Logs\Microsoft\Windows\Authentication-ийн дор байдаг бөгөөд администратор ямар нэг зүйл бичигдэхээс өмнө логыг асаах шаардлагатай байж болно. Цагийн тэмдэглэгээг туннелийн өөрийн холболтын логтой харьцуулна уу, учир нь дарааллын алдаа хоёр талаас нь итгэмжлэлийн гэмтэл мэт харагддаг.

Доорх эхний команд нь төхөөрөмжийн илрүүлдэг бүх баталгаажуулалтын логыг жагсаадаг тул та блогын нийтлэлд нэрлэсэн биш, байгаа логыг уншина. Хоёр дахь нь нэрийг мэдсэний дараа сүүлийн бичлэгүүдийг уншдаг. Баталгаажуулалтын пакет, бүртгэл ба бүтэлгүйтлийн нөхцөлийг хайна уу, учир нь дутуу сүлжээний зам ба татгалзсан механизм өөр өөр нотолгоо үлдээдэг бөгөөд тэдгээрийн зөвхөн нэг нь VPN-ийн асуудал юм. Хэрэв туннель оролдлогын дараа боссон бол тэдгээр бичлэг юу ч гэсэн дараалал буруу байсан.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Хүйтэн ачааллаас хил хязгаарыг нотол

Туршилтыг гарсан эсвэл дөнгөж ачаалсан төлөвөөс хязгаарлагдмал бүртгэлээр гүйцэтгэж, онцгой эрхтэй хэрэглэгчдэд зориулж ямар нэг зүйлийг өөрчлөхөөс өмнө зөвшөөрөгдсөн сэргээх замыг нээлттэй байлгана уу. Ажиллаж буй ажлын тал дээрх туршилт нь чухал кодын замын аль ч хэсгийг дасгалжуулдаггүй бөгөөд дараагийн дахин ачааллаас өмнө тэссэн засварын талаарх ихэнх мэдээллийг энэ нь тайлбарладаг. Дараа нь дөрвөн алхмыг энэ дарааллаар гүйцэтгэнэ үү.

1. Хэн нэгэн нэвтрэхээс өмнө төхөөрөмж домэйны хянагчийг олж чадах эсэхийг nltest /dsgetdc:corp.example.com-оор батална уу.
2. Домэйн нэвтрэлтийг оролдоод, дараа нь тасалбар огт авсан эсэхийг klist-оор асууна уу.
3. Төхөөрөмжийн бүртгэдэг баталгаажуулалтын логыг дээрх хоёр командаар уншиж, пакет ба бүтэлгүйтлийн нөхцөлийг тэмдэглэнэ үү.
4. Зөвшөөрөгдсөн сэргээх итгэмжлэл нэвтрэх дэлгэцээс ажиллаж байгаа эсэхийг батална уу, учир нь хилийн туршилт бүтэлгүйтвэл буцах цорын ганц зам нь тэр.

Өгөгдсөн итгэмжлэлээр файлын хуваалтыг нээх нь мөн офлайн интерактив нэвтрэлт үүсгэдэггүй тул дээрх аль ч алхмыг орлохгүй. Хэрэв байгууллагад үнэхээр холболтгүй нэвтрэлт хэрэгтэй бол хариулт нь зориуд сонгосон нийцэлтэй бүртгэл ба төгсгөлийн цэгийн зохиомж юм. Бүртгэлийг бүлгээс гаргах эсвэл зөөврийн компьютер бүр дээр нэг хязгааргүй яаралтай нэвтрэлт үлдээх нь VPN-ийн өөрчлөлт таны оронд гаргаж чадахгүй таних тэмдгийн бодлогын шийдвэр юм.

Protected Users-ийн баримт бичиг нь баталгаажуулагчийн зан төлөв болон энэ зохиомж хамаардаг домэйны хязгаарлалтыг хоёуланг нь тайлбарладаг. Хэн нэгэн аялахаас өмнө сэргээх процессыг төлөвлөнө үү, учир нь хүйтэн ачааллын туршилт нь үүнийг дасгалжуулдаг цорын ганц газар юм.