Waarom een Protected Users-laptop de VPN nodig heeft vóór aanmelding

Een laptop, een werkend account en een hotelnetwerk vormen samen een aanmeldlus die geen enkele nieuwe poging doorbreekt. Het account staat in Protected Users, waardoor Windows de verificator niet opslaat die het nodig zou hebben om de gebruiker offline te authenticeren. Elk plan in de vorm van «eerst aanmelden, daarna de tunnel verbinden» heeft de volgorde omgekeerd, en de bescherming doet precies wat ze belooft. Het volgende gaat uit van een traditioneel Active Directory-account op een ondersteunde Windows-host.

Wat de bescherming werkelijk wegneemt

Normaal gesproken cachet Windows een verificator zodat een domeinaccount kan aanmelden terwijl een domeincontroller onbereikbaar is. Protected Users blokkeert dat voor het account, waardoor offline domeinaanmelding als mogelijkheid verdwijnt in plaats van onbetrouwbaar te worden.

Dit is niet het gebruikelijke probleem met een verouderde cache, en de gebruikelijke middelen zijn niet van toepassing. Herhaald online aanmelden, nog een wachtwoordwijziging of een hogere limiet voor gecachte aanmeldingen herstellen het vermogen niet, omdat geen van die acties de verificator maakt die het beleid weigert op te slaan. Het account gedraagt zich zoals ontworpen, en het ontwerp gaat ervan uit dat het netwerk aanwezig is wanneer Windows erom vraagt. Het symptoom als cachefout behandelen is de manier waarop teams een profiel opnieuw opbouwen dat nooit kapot was.

Waarom de tunnel moet bestaan vóór het bureaublad

Het apparaat moet domeinauthenticatie bereiken op het moment dat Windows erom vraagt, en dat is voordat er een gebruikerssessie bestaat. Een VPN-client die pas start nadat het bureaublad verschijnt, laat een nieuwe aanmelding wachten op een pad dat nooit komt. De afhankelijkheid hoort bij de machine, niet bij een gebruiker die zich nog niet heeft aangemeld.

Gebruik een ondersteunde vooraanmelding die is afgestemd met de eigenaren van eindpunten en identiteit. Een Always On VPN-apparaattunnel die met een computercertificaat wordt geauthenticeerd, komt in aanmerking wanneer het beheerde apparaat aan de randvoorwaarden van die implementatie voldoet. De ondersteunde integratie van een aanmeldscherm door een leverancier is een andere optie. Een gewoon gebruikersprofiel met een automatische trigger is geen van beide, hoe vergelijkbaar het er ook uitziet in de clientinterface.

Dat pad heeft naamresolutie voor het domein nodig, een bereikbare domeincontroller en de authenticatieprotocollen die het account mag gebruiken, en geen enkele indicator «verbonden» levert dat. De routes en filters moeten de identiteitsdiensten dragen en niets anders dat niet nodig is, want die prefixlijst is het oppervlak dat een gestolen laptop krijgt voordat iemand aanmeldt. Beslissingen over split-tunnel voor de gebruikerstunnel gelden niet voor de apparaattunnel, dus bekijk beide afzonderlijk.

Bereikbaarheid is geen authenticatiecompatibiliteit

Een tunnel kan pakketten perfect vervoeren terwijl domeinauthenticatie mislukt, omdat het mechanisme dat wordt geprobeerd er een is die het account niet mag gebruiken. In een domein dat de beperkingen van de groep handhaaft, is NTLM niet beschikbaar voor leden en vereist Kerberos een AES-compatibel account en configuratie. Een pakketpad kan geen van beide repareren. Daarom is een schone ping naar een domeincontroller geen bewijs dat aanmelden zal werken.

Er kunnen ook twee referentiesystemen in het spel zijn. De VPN kan zich authenticeren bij een identiteitsprovider terwijl Windows apart een domeinaanmelding nodig heeft, en de acceptatie door het eerste zegt niets over het tweede. «De VPN is verbonden» en «de gebruiker is aangemeld» zijn afzonderlijke waarnemingen, en het ene oplossen betekent niet het andere.

Lees de authenticatiebewijzen

Verzamel gebeurtenissen van de client en van een domeincontroller voor dezelfde poging, niet alleen van één kant. De Protected Users-logboeken staan onder Applications and Services Logs\Microsoft\Windows\Authentication, en een beheerder moet mogelijk een logboek aanzetten voordat het iets vastlegt. Correleer de tijdstempels met het verbindingslogboek van de tunnel zelf, want een volgordefout ziet er van beide kanten uit als een referentiefout.

De eerste opdracht hieronder noemt elk authenticatielogboek op dat het apparaat blootlegt, zodat u leest wat bestaat en niet wat een blogbericht noemde. De tweede leest recente vermeldingen zodra u de naam kent. Zoek het authenticatiepakket, het account en de foutconditie, want een ontbrekend netwerkpad en een geweigerd mechanisme laten verschillend bewijs achter en slechts één daarvan is een VPN-probleem. Als de tunnel na de poging omhoogkwam, was de volgorde verkeerd wat die vermeldingen ook zeggen.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Bewijs de grens vanuit een koude start

Voer de test uit vanuit een afgemelde of net opgestarte toestand met een beperkt account, en houd een goedgekeurd herstelpad open voordat u iets wijzigt voor geprivilegieerde gebruikers. Een test op een bureaublad dat al draait, oefent geen enkel deel van het codepad dat ertoe doet, en dat verklaart de meeste meldingen van een correctie die standhield tot de volgende herstart. Doorloop daarna de vier stappen in deze volgorde.

1. Bevestig dat het apparaat een domeincontroller kan vinden voordat iemand aanmeldt, met nltest /dsgetdc:corp.example.com.
2. Probeer de domeinaanmelding en vraag daarna of er überhaupt een ticket is verkregen, met klist.
3. Lees het authenticatielogboek dat het apparaat vastlegt, met de twee opdrachten hierboven, en noteer het pakket en de foutconditie.
4. Bevestig dat de goedgekeurde herstelreferentie nog steeds werkt vanaf het aanmeldscherm, want dat is de enige weg terug als de grenstest mislukt.

Een bestandsshare openen met meegegeven referenties maakt ook geen offline interactieve aanmelding, dus het vervangt geen van de stappen hierboven. Als de organisatie echt aanmelding zonder verbinding nodig heeft, is het antwoord een compatibel ontwerp van account en eindpunt dat bewust is gekozen. Het account uit de groep halen, of op elke laptop één onbeperkte noodaanmelding houden, is een beslissing over identiteitsbeleid die een VPN-wijziging niet voor u kan nemen.

De documentatie over Protected Users beschrijft zowel het gedrag van de verificator als de domeinbeperkingen waarvan dit ontwerp afhangt. Plan het herstelproces voordat iemand reist, want de koudstarttest is de enige plek waar het wordt geoefend.