Għaliex laptop tal-Protected Users jeħtieġ il-VPN qabel id-dħul

Laptop, kont li jaħdem u netwerk ta’ lukanda flimkien jagħmlu linja tad-dħul li l-ebda tentattiv mill-ġdid ma jkissirha. Il-kont jinsab fil-Protected Users, u dan iżomm lil Windows milli jaħżen il-verifikatur li jkun jeħtieġ biex jawtentika l-utent barra l-linja. Kull pjan tal-għamla «idħol l-ewwel, imbagħad qabbad it-tunnel wara» għandu l-ordni maqluba, u l-protezzjoni tagħmel eżattament dak li twiegħed. Dak li ġej jassumi kont tradizzjonali tal-Active Directory fuq host ta’ Windows appoġġjat.

X’tneħħi fil-fatt il-protezzjoni

Normalment Windows jaħżen verifikatur sabiex kont tad-dominju jkun jista’ jidħol waqt li l-kontrollur tad-dominju ma jkunx jista’ jintlaħaq. Protected Users jimblokka dan għall-kont, u b’hekk ineħħi d-dħul fid-dominju barra l-linja bħala possibbiltà minflok ma jagħmilha mhux affidabbli.

Din mhix il-problema tas-soltu tal-cache skaduta, u r-rimedji tas-soltu ma japplikawx. Dħul ripetut onlajn, tibdil ieħor tal-password jew żieda fl-għadd tad-dħul maħżun mhux se jġibu lura l-kapaċità, għax ħadd minn dawn l-azzjonijiet ma joħloq il-verifikatur li l-politika tirrifjuta li taħżen. Il-kont qed iġib ruħu kif iddisinjat, u d-disinn jassumi li n-netwerk ikun preżenti meta Windows jistaqsi. Li tittratta s-sintomu bħala ħsara fil-cache hija t-triq li biha t-timijiet jerġgħu jibnu profil li qatt ma kien miksur.

Għaliex it-tunnel irid ikun jeżisti qabel id-desktop

It-tagħmir irid jilħaq l-awtentikazzjoni tad-dominju fil-mument li Windows jitolbha, u dan huwa qabel ma tkun teżisti xi sessjoni tal-utent. Klijent tal-VPN li jibda biss wara li jidher id-desktop iħalli dħul ġdid jistenna triq li qatt ma tasal. Id-dipendenza tappartjeni lill-magna, mhux lill-utent li għadu ma daħalx.

Uża arranġament appoġġjat ta’ qabel id-dħul miftiehem mas-sidien tat-truf u tal-identità. Tunnel tat-tagħmir Always On VPN awtentikat b’ċertifikat tal-kompjuter jikkwalifika meta t-tagħmir ġestit jissodisfa r-rekwiżiti minn qabel ta’ dak id-deployment. L-integrazzjoni appoġġjata tal-iskrin tad-dħul minn fornitur hija għażla oħra. Profil ordinarju tal-utent b’attivatur awtomatiku mhuwiex lanqas wieħed minnhom, kemm jidher simili fl-interface tal-klijent.

Dik it-triq teħtieġ soluzzjoni tal-ismijiet għad-dominju, kontrollur tad-dominju li jista’ jintlaħaq u l-protokolli tal-awtentikazzjoni li l-kont jista’ juża, u l-ebda indikatur «konness» ma jipprovdi xi waħda minnhom. Ir-rotot u l-filtri tiegħu għandhom iġorru s-servizzi tal-identità u xejn ieħor li mhuwiex meħtieġ, għax dik il-lista tal-prefissi hija l-wiċċ li laptop misruq jikseb qabel ma jidħol xi ħadd. Deċiżjonijiet ta’ tunnel maqsum meħuda għat-tunnel tal-utent ma jgħaddux għat-tunnel tat-tagħmir, għalhekk irrivedi t-tnejn separatament.

L-aċċessibilità mhix kompatibilità tal-awtentikazzjoni

Tunnel jista’ jġorr il-pakketti b’mod perfett filwaqt li l-awtentikazzjoni tad-dominju tfalli, għax il-mekkaniżmu li qed jiġi ppruvat huwa wieħed li l-kont ma jistax juża. F’dominju li jinfurza r-restrizzjonijiet tal-grupp, NTLM mhux disponibbli għall-membri u Kerberos jeħtieġ kont u konfigurazzjoni kompatibbli ma’ AES. Triq tal-pakketti ma tistax issewwi lanqas waħda minnhom. Għalhekk ping nadif lejn kontrollur tad-dominju mhuwiex prova li d-dħul se jaħdem.

Jistgħu jkunu involuti wkoll żewġ sistemi ta’ kredenzjali. Il-VPN jista’ jawtentika ma’ fornitur tal-identità filwaqt li Windows jeħtieġ separatament dħul fid-dominju, u l-aċċettazzjoni tal-ewwel ma tgħid xejn dwar it-tieni. «Il-VPN qabbad» u «l-utent daħal» huma osservazzjonijiet separati, u li ssewwi waħda ma jimplikax l-oħra.

Aqra l-evidenza tal-awtentikazzjoni

Iġbor avvenimenti mill-klijent u minn kontrollur tad-dominju għall-istess tentattiv, mhux minn naħa waħda biss. Il-logs tal-Protected Users jinsabu taħt Applications and Services Logs\Microsoft\Windows\Authentication, u amministratur jista’ jkollu jixgħel log qabel ma jirrekordja xi ħaġa. Ikkorrela t-timbri tal-ħin mal-log tal-konnessjoni tat-tunnel stess, għax żball fl-ordni jidher bħala ħsara tal-kredenzjali miż-żewġ naħat.

L-ewwel kmand hawn taħt jelenka kull log tal-awtentikazzjoni li t-tagħmir jiżvela, sabiex taqra dak li jeżisti u mhux dak li semma post fil-blog. It-tieni jaqra l-entrati reċenti ladarba tkun taf l-isem. Fittex il-pakkett tal-awtentikazzjoni, il-kont u l-kundizzjoni tal-falliment, għax triq tan-netwerk nieqsa u mekkaniżmu miċħud iħallu evidenza differenti u waħda biss minnhom hija problema tal-VPN. Jekk it-tunnel tela’ wara t-tentattiv, l-ordni kienet ħażina tkun xi tkun dak li jgħidu dawk l-entrati.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Ipprova l-konfini minn boot kiesaħ

Mexxi t-test minn stat illoggjat barra jew li għadu kemm tella’, b’kont limitat, u żomm triq tal-irkupru approvata miftuħa qabel ma tbiddel xi ħaġa għall-utenti privileġġjati. Test fuq desktop li diġà qed jaħdem ma jipprattikax xi parti mit-triq tal-kodiċi li timporta, u dan jispjega l-biċċa l-kbira tar-rapporti dwar tiswija li żammet sat-tlugħ mill-ġdid li jmiss. Imbagħad għaddi mill-erba’ passi f’din l-ordni.

1. Ikkonferma li t-tagħmir jista’ jsib kontrollur tad-dominju qabel ma jidħol xi ħadd, bil-nltest /dsgetdc:corp.example.com.
2. Ipprova d-dħul fid-dominju, imbagħad staqsi jekk inkisibx biljett xejn, bil-klist.
3. Aqra l-log tal-awtentikazzjoni li jirrekordja t-tagħmir, biż-żewġ kmandi hawn fuq, u nnota l-pakkett u l-kundizzjoni tal-falliment.
4. Ikkonferma li l-kredenzjali tal-irkupru approvata għadha taħdem mill-iskrin tad-dħul, għax dik hija l-unika triq lura jekk it-test tal-konfini jfalli.

Li tiftaħ kondiviżjoni tal-fajls b’kredenzjali mogħtija lanqas ma toħloq dħul interattiv barra l-linja, għalhekk mhuwiex sostitut għal xi pass hawn fuq. Jekk l-organizzazzjoni tassew teħtieġ dħul mingħajr konnessjoni, it-tweġiba hija disinn kompatibbli tal-kont u tat-tarf magħżul b’mod deliberat. Li tneħħi l-kont mill-grupp, jew li żżomm dħul wieħed ta’ emerġenza mingħajr restrizzjonijiet fuq kull laptop, hija deċiżjoni tal-politika tal-identità li bidla fil-VPN ma tistax tieħu għalik.

Id-dokumentazzjoni tal-Protected Users tiddeskrivi kemm l-imġiba tal-verifikatur kif ukoll ir-restrizzjonijiet tad-dominju li dan id-disinn jiddependi fuqhom. Ippjana l-proċess tal-irkupru qabel ma jivvjaġġa xi ħadd, għax it-test tal-boot kiesaħ huwa l-uniku post fejn jiġi pprattikat.