Mengapa komputer riba Protected Users perlukan VPN sebelum log masuk

Komputer riba, akaun yang berfungsi dan rangkaian hotel bersama-sama membentuk gelung log masuk yang tidak dipatahkan oleh sebarang percubaan semula. Akaun itu berada dalam Protected Users, yang menghalang Windows daripada menyimpan pengesah yang diperlukannya untuk mengesahkan pengguna secara luar talian. Sebarang pelan berbentuk «log masuk dahulu, sambung terowong kemudian» mempunyai susunan terbalik, dan perlindungan itu melakukan tepat seperti yang dijanjikannya. Yang berikut menganggap akaun Active Directory tradisional pada hos Windows yang disokong.

Apa yang sebenarnya dibuang oleh perlindungan itu

Biasanya Windows menyimpan pengesah dalam cache supaya akaun domain boleh log masuk ketika pengawal domain tidak dapat dicapai. Protected Users menyekatnya untuk akaun itu, yang membuang log masuk domain luar talian sebagai kemungkinan dan bukannya menjadikannya tidak boleh dipercayai.

Ini bukan masalah cache lapuk yang biasa, dan ubat biasa tidak terpakai. Log masuk dalam talian berulang kali, menukar kata laluan sekali lagi atau menaikkan kiraan log masuk yang di-cache tidak akan memulihkan keupayaan itu, kerana tiada satu pun tindakan itu mencipta pengesah yang enggan disimpan oleh dasar tersebut. Akaun itu berkelakuan seperti direka, dan reka bentuk itu menganggap rangkaian hadir apabila Windows memintanya. Melayan gejala sebagai kerosakan cache ialah cara pasukan akhirnya membina semula profil yang tidak pernah rosak.

Mengapa terowong mesti wujud sebelum desktop

Peranti mesti mencapai pengesahan domain pada saat Windows memintanya, iaitu sebelum wujud sebarang sesi pengguna. Klien VPN yang hanya bermula selepas desktop muncul membiarkan log masuk baharu menunggu laluan yang tidak pernah tiba. Kebergantungan itu milik mesin, bukan milik pengguna yang belum log masuk.

Gunakan susunan pra-log masuk yang disokong dan dipersetujui dengan pemilik titik akhir dan identiti. Terowong peranti Always On VPN yang disahkan dengan sijil komputer layak apabila peranti terurus memenuhi prasyarat penggunaan itu. Integrasi skrin log masuk yang disokong vendor ialah pilihan lain. Profil pengguna biasa dengan pencetus automatik bukan kedua-duanya, seserupa mana pun ia kelihatan dalam antara muka klien.

Laluan itu memerlukan penyelesaian nama untuk domain, pengawal domain yang boleh dicapai dan protokol pengesahan yang boleh digunakan oleh akaun, dan tiada penunjuk «disambung» menyediakan mana-mana daripadanya. Laluan dan penapisnya harus membawa perkhidmatan identiti dan tiada apa-apa lagi yang tidak perlu, kerana senarai awalan itulah permukaan yang diperoleh komputer riba yang dicuri sebelum sesiapa log masuk. Keputusan terowong berpecah yang dibuat untuk terowong pengguna tidak terpakai pada terowong peranti, jadi semak kedua-duanya secara berasingan.

Kebolehhubungan bukan keserasian pengesahan

Terowong boleh membawa paket dengan sempurna sementara pengesahan domain gagal, kerana mekanisme yang dicuba ialah satu yang tidak boleh digunakan oleh akaun. Dalam domain yang menguatkuasakan sekatan kumpulan, NTLM tidak tersedia kepada ahli dan Kerberos memerlukan akaun serta konfigurasi yang serasi dengan AES. Laluan paket tidak boleh membaiki mana-mana daripada kedua-duanya. Itulah sebabnya ping bersih ke pengawal domain bukan bukti bahawa log masuk akan berjaya.

Dua sistem kelayakan juga mungkin terlibat. VPN boleh mengesahkan dengan penyedia identiti sementara Windows memerlukan log masuk domain secara berasingan, dan penerimaan oleh yang pertama tidak mengatakan apa-apa tentang yang kedua. «VPN telah disambung» dan «pengguna telah log masuk» ialah pemerhatian berasingan, dan membaiki satu tidak bermakna yang lain.

Baca bukti pengesahan

Kumpulkan peristiwa daripada klien dan daripada pengawal domain untuk percubaan yang sama, bukan hanya dari satu pihak. Log Protected Users berada di bawah Applications and Services Logs\Microsoft\Windows\Authentication, dan pentadbir mungkin perlu menghidupkan log sebelum ia merekodkan apa-apa. Korelasikan cap masa dengan log sambungan terowong itu sendiri, kerana kesilapan susunan kelihatan seperti kerosakan kelayakan dari kedua-dua pihak.

Perintah pertama di bawah menyenaraikan setiap log pengesahan yang didedahkan oleh peranti, jadi anda membaca yang wujud dan bukan yang dinamakan oleh siaran blog. Yang kedua membaca entri terkini setelah anda mengetahui namanya. Cari pakej pengesahan, akaun dan syarat kegagalan, kerana laluan rangkaian yang hilang dan mekanisme yang ditolak meninggalkan bukti berbeza dan hanya satu daripadanya masalah VPN. Jika terowong naik selepas percubaan itu, susunannya salah walau apa pun yang dikatakan entri tersebut.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Buktikan sempadan dari but sejuk

Jalankan ujian dari keadaan log keluar atau baru but dengan akaun terhad, dan biarkan laluan pemulihan yang diluluskan terbuka sebelum mengubah apa-apa untuk pengguna istimewa. Ujian pada desktop yang sudah berjalan tidak melatih mana-mana bahagian laluan kod yang penting, dan itu menjelaskan kebanyakan laporan tentang pembetulan yang bertahan sehingga but seterusnya. Kemudian lalui empat langkah dalam susunan ini.

1. Pastikan peranti dapat menemui pengawal domain sebelum sesiapa log masuk, dengan nltest /dsgetdc:corp.example.com.
2. Cuba log masuk domain, kemudian tanya sama ada tiket diperoleh, dengan klist.
3. Baca log pengesahan yang direkodkan oleh peranti, dengan dua perintah di atas, dan catat pakej serta syarat kegagalan.
4. Pastikan kelayakan pemulihan yang diluluskan masih berfungsi dari skrin log masuk, kerana itulah satu-satunya jalan kembali jika ujian sempadan gagal.

Membuka perkongsian fail dengan kelayakan yang diberikan juga tidak mencipta log masuk interaktif luar talian, jadi ia bukan pengganti mana-mana langkah di atas. Jika organisasi benar-benar memerlukan log masuk tanpa sambungan, jawapannya ialah reka bentuk akaun dan titik akhir yang serasi yang dipilih dengan sengaja. Mengeluarkan akaun daripada kumpulan, atau menyimpan satu log masuk kecemasan tanpa sekatan pada setiap komputer riba, ialah keputusan dasar identiti yang tidak boleh diambil oleh perubahan VPN untuk anda.

Dokumentasi Protected Users menerangkan tingkah laku pengesah dan sekatan domain yang menjadi asas reka bentuk ini. Rancang proses pemulihan sebelum sesiapa mengembara, kerana ujian but sejuk ialah satu-satunya tempat ia dilatih.