Dlaczego laptop z Protected Users potrzebuje VPN przed logowaniem

Laptop, działające konto i sieć hotelowa razem tworzą pętlę logowania, której nie przełamie żadna liczba ponownych prób. Konto należy do Protected Users, co uniemożliwia Windows zapisanie weryfikatora potrzebnego do uwierzytelnienia użytkownika bez połączenia. Każdy plan w rodzaju „najpierw zaloguj się, potem podłącz tunel” ma odwróconą kolejność, a ochrona robi dokładnie to, co obiecuje. Poniższe zakłada tradycyjne konto Active Directory na obsługiwanym hoście Windows.

Co ochrona faktycznie usuwa

Zwykle Windows zapisuje weryfikator w pamięci podręcznej, aby konto domenowe mogło się zalogować, gdy kontroler domeny jest nieosiągalny. Protected Users blokuje to dla konta, co usuwa logowanie do domeny bez połączenia jako możliwość, zamiast czynić je zawodnym.

To nie jest zwykły problem z nieaktualną pamięcią podręczną i zwykłe środki tu nie działają. Powtarzane logowanie online, kolejna zmiana hasła ani podniesienie limitu zapisanych logowań nie przywrócą tej możliwości, bo żadna z tych czynności nie tworzy weryfikatora, którego polityka odmawia zapisania. Konto zachowuje się zgodnie z projektem, a projekt zakłada, że sieć jest obecna, gdy Windows o nią prosi. Traktowanie objawu jako usterki pamięci podręcznej to droga, na której zespoły odbudowują profil, który nigdy nie był zepsuty.

Dlaczego tunel musi istnieć przed pulpitem

Urządzenie musi dotrzeć do uwierzytelniania domenowego w chwili, gdy Windows o nie prosi, czyli zanim istnieje jakakolwiek sesja użytkownika. Klient VPN, który startuje dopiero po pojawieniu się pulpitu, zostawia nowe logowanie czekające na ścieżkę, która nigdy nie nadchodzi. Zależność należy do maszyny, a nie do użytkownika, który jeszcze się nie zalogował.

Użyj obsługiwanego rozwiązania przed logowaniem, uzgodnionego z właścicielami punktów końcowych i tożsamości. Tunel urządzenia Always On VPN uwierzytelniany certyfikatem komputera kwalifikuje się, gdy zarządzane urządzenie spełnia wymagania wstępne tego wdrożenia. Obsługiwana integracja ekranu logowania od dostawcy to inna opcja. Zwykły profil użytkownika z automatycznym wyzwalaczem nie jest żadnym z nich, choćby wyglądał podobnie w interfejsie klienta.

Ta ścieżka potrzebuje rozwiązywania nazw dla domeny, osiągalnego kontrolera domeny i protokołów uwierzytelniania, których konto może używać, a żaden wskaźnik „połączono” tego nie zapewnia. Jej trasy i filtry powinny przenosić usługi tożsamości i nic więcej, co nie jest konieczne, bo ta lista prefiksów jest powierzchnią, którą skradziony laptop otrzymuje, zanim ktokolwiek się zaloguje. Decyzje o tunelu dzielonym podjęte dla tunelu użytkownika nie przenoszą się na tunel urządzenia, więc przejrzyj oba osobno.

Osiągalność to nie zgodność uwierzytelniania

Tunel może idealnie przenosić pakiety, a uwierzytelnianie domenowe może zawodzić, bo wypróbowywany mechanizm jest takim, którego konto nie może użyć. W domenie, która egzekwuje ograniczenia grupy, NTLM nie jest dostępny dla członków, a Kerberos wymaga konta i konfiguracji zgodnych z AES. Ścieżka pakietów nie naprawi żadnego z nich. Dlatego czysty ping do kontrolera domeny nie jest dowodem, że logowanie zadziała.

Mogą też działać dwa systemy poświadczeń. VPN może uwierzytelniać się wobec dostawcy tożsamości, podczas gdy Windows potrzebuje osobno logowania domenowego, a akceptacja pierwszego nic nie mówi o drugim. „VPN jest połączony” i „użytkownik jest zalogowany” to osobne obserwacje, a naprawienie jednej nie oznacza drugiej.

Przeczytaj dowody uwierzytelniania

Zbieraj zdarzenia od klienta i od kontrolera domeny dla tej samej próby, a nie tylko z jednej strony. Dzienniki Protected Users znajdują się pod Applications and Services Logs\Microsoft\Windows\Authentication, a administrator może musieć włączyć dziennik, zanim cokolwiek zapisze. Skoreluj znaczniki czasu z własnym dziennikiem połączenia tunelu, bo błąd kolejności wygląda jak usterka poświadczeń z obu stron.

Pierwsze polecenie poniżej wylicza wszystkie dzienniki uwierzytelniania, które udostępnia urządzenie, więc czytasz ten, który istnieje, a nie ten nazwany w poście blogowym. Drugie czyta ostatnie wpisy, gdy znasz nazwę. Szukaj pakietu uwierzytelniania, konta i warunku błędu, bo brakująca ścieżka sieciowa i odrzucony mechanizm pozostawiają różne dowody i tylko jeden z nich jest problemem VPN. Jeśli tunel podniósł się po próbie, kolejność była zła, cokolwiek mówią te wpisy.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Udowodnij granicę przy zimnym starcie

Wykonaj test ze stanu wylogowanego lub świeżo uruchomionego na koncie ograniczonym i pozostaw otwartą zatwierdzoną ścieżkę odzyskiwania, zanim cokolwiek zmienisz dla użytkowników uprzywilejowanych. Test na już działającym pulpicie nie ćwiczy żadnej części istotnej ścieżki kodu, i to wyjaśnia większość doniesień o poprawce, która przetrwała do następnego restartu. Następnie przejdź cztery kroki w tej kolejności.

1. Potwierdź, że urządzenie potrafi znaleźć kontroler domeny, zanim ktokolwiek się zaloguje, za pomocą nltest /dsgetdc:corp.example.com.
2. Spróbuj logowania domenowego, a potem zapytaj, czy w ogóle uzyskano bilet, za pomocą klist.
3. Przeczytaj dziennik uwierzytelniania zapisywany przez urządzenie, dwoma poleceniami powyżej, i zanotuj pakiet oraz warunek błędu.
4. Potwierdź, że zatwierdzone poświadczenie odzyskiwania nadal działa z ekranu logowania, bo to jedyna droga powrotu, jeśli test granicy zawiedzie.

Otwarcie udziału plików z podanymi poświadczeniami również nie tworzy logowania interaktywnego offline, więc nie zastępuje żadnego kroku powyżej. Jeśli organizacja naprawdę potrzebuje logowania bez połączenia, odpowiedzią jest zgodny projekt konta i punktu końcowego wybrany świadomie. Usunięcie konta z grupy albo utrzymywanie jednego nieograniczonego logowania awaryjnego na każdym laptopie to decyzja polityki tożsamości, której zmiana VPN nie może podjąć za was.

Dokumentacja Protected Users opisuje zarówno zachowanie weryfikatora, jak i ograniczenia domeny, od których zależy ten projekt. Zaplanuj proces odzyskiwania, zanim ktokolwiek wyruszy w podróż, bo test zimnego startu to jedyne miejsce, gdzie jest on ćwiczone.