Waarom een domain-laptop het oude wachtwoord offline accepteert

Een wachtwoordwijziging komt overal tegelijk aan, behalve op die ene laptop die een week offline is geweest. Webmail neemt het nieuwe wachtwoord, een desktop op kantoor neemt het ook, en de externe machine logt bij een uitgevallen VPN nog steeds in met het oude. Dat is geen tweede wachtwoord en geen synchronisatiefout in de directory. Het is de gecachte aanmeldingsverificator die doet waarvoor hij is ontworpen, en de oplossing is een reeks stappen, geen reset.

De laptop controleert een gecachte verificator

Aan een domein gekoppeld Windows houdt een lokale verificator bij voor recente geslaagde interactieve aanmeldingen, zodat de machine kan opstarten wanneer geen enkele domeincontroller antwoordt. Die verificator is afgeleid van het wachtwoord zoals het bij die aanmelding was. Het wachtwoord elders wijzigen werkt de directory bij, niet de kopie op een laptop die er sindsdien niet mee heeft gesproken.

Het oude wachtwoord kan de lokale sessie dus nog openen terwijl het ongeldig is voor elke nieuwe domeinauthenticatie. Dat zijn twee verschillende waarnemingen, en ze door elkaar halen leidt tot herhaalde resets.

Controleer welke referentie werkelijk in het spel is voordat u iets anders wijzigt. Een Windows Hello-pincode, een aanmelding met Entra ID en een traditioneel domeinwachtwoord zijn aparte mechanismen, en juist de pincode is niet het domeinwachtwoord, ook niet als hij hetzelfde bureaublad ontgrendelt.

Netwerkaanthenticatie is geen interactieve aanmelding

Een bestandsshare openen met het nieuwe wachtwoord bewijst dat het netwerkpad werkt. Het ververst de cache van de interactieve aanmelding niet, omdat Windows netwerk- en interactieve authenticatie als aparte bewerkingen met aparte status behandelt.

De verificator wordt alleen ververst wanneer een interactieve aanmelding echt contact maakt met een domeincontroller; een gekoppelde schijf of een Outlook-vraag doet dat niet.

Dat onderscheid verklaart de gebruikelijke melding: de gebruiker kan mail lezen en het intranet openen, maar het vergrendelscherm wil nog steeds het oude wachtwoord. Het verklaart ook waarom een VPN die na de aanmelding start de eerste aanmelding niet kan helpen, want de tunnel komt pas nadat de beslissing lokaal al is genomen.

Krijg één online aanmelding op het juiste moment

De cache wordt ververst wanneer de gebruiker interactief aanmeldt terwijl het domein bereikbaar is. Voor een externe machine betekent dat de tunnel moet bestaan voordat de referentie wordt beoordeeld, niet nadat het bureaublad verschijnt.

Controleer of de implementatie verbinding vóór aanmelding of een apparaattunnel ondersteunt. Die zijn voor dit moment ontworpen, en een gebruikerstunnel is geen vervanging:

nltest /dsgetdc:corp.example
klist

Heeft het eindpunt geen pad vóór aanmelding, gebruik dan het ondersteunde herstelproces dat de organisatie documenteert. Sommige omgevingen gebruiken een reeks verbinden, vergrendelen en ontgrendelen waarbij de tunnel op het vergrendelscherm open blijft; andere sturen het apparaat naar een beheerde herstelstap. Volg degene die bij de client past, en bevestig voordat u erop vertrouwt dat de tunnel het vergrendelscherm overleeft.

Bescherm de weg terug

Bepaal voordat u zich afmeldt bij een externe machine hoe de volgende aanmelding het domein bereikt. Een gebruikerstunnel die met de sessie wegvalt, kan het enige pad verwijderen waarop u rekende, en dan komt u met het oude noch het nieuwe wachtwoord langs het vergrendelscherm. Houd een lokaal beheerdersaccount of een out-of-band-console als terugval. Schrijf de herstelstap op waar de gebruiker die zonder aanmelding kan bereiken.

Verzamel voor support vier feiten: waar het wachtwoord is gewijzigd, welke referentie offline nog werkt, of een domeincontroller via de tunnel bereikbaar is en welke aanmeldmethode de laptop gebruikt.

Die vier scheiden een verouderde verificator van een accountvergrendeling of een geweigerde VPN-aanmelding, die er in een ticket hetzelfde uitzien en verschillende oplossingen hebben. Een vergrendeld account weigert het nieuwe wachtwoord ook online, dus test dat voordat u de cache de schuld geeft.

Sluit de cirkel met één online aanmelding

Het doel is één ondersteunde interactieve aanmelding terwijl het domein bereikbaar is, gevolgd door een bekende offline status. Die ene gebeurtenis ververst de verificator en beëindigt de cyclus van het wachtwoord op elk apparaat wijzigen.

Controleer daarna de status met het aantal gecachte aanmeldingen en een opzoeking van de domeincontroller:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Is het aantal nul, dan is gecachte aanmelding door beleid uitgeschakeld en verandert het offline gedrag niet, hoe vaak het wachtwoord ook wordt gereset. Dat is een beleidsbeslissing die bij de eigenaar moet worden aangekaart, geen omweg om lokaal toe te passen.