ولې د Protected Users لپټاپ ته د ننوتلو دمخه VPN ته اړتیا ده

لپټاپ، فعال حساب او د هوټل شبکه یوځای د ننوتلو هغه حلقه جوړوي چې هیڅ بیا هڅه یې نه ماتوي۔ حساب په Protected Users کې دی، چې Windows له دې منع کوي چې هغه تصدیقوونکی ذخیره کړي چې د کارونکي د آفلاین تصدیق لپاره یې ورته اړتیا وه۔ د «لومړی ننوځه، بیا تونل وصل کړه» په څیر هر پلان ترتیب برعکس لري، او ساتنه هغه څه کوي چې ژمنه یې کړې۔ لاندې برخه په ملاتړ شوي Windows کوربه کې دودیز Active Directory حساب فرض کوي۔

ساتنه په رښتیا څه لرې کوي

معمولاً Windows تصدیقوونکی په کیش کې ساتي ترڅو د ډومین حساب هغه وخت هم ننوځي چې د ډومین کنټرولر لاسرسی نه وي۔ Protected Users دا د حساب لپاره بندوي، چې آفلاین ډومین ننوتل د امکان په توګه لرې کوي پرته له دې چې ناسم یې کړي۔

دا د زوړ کیش عادي ستونزه نه ده، او عادي درملنه دلته نه تطبیقېږي۔ تکرار آنلاین ننوتل، بل ځل د پټنوم بدلول یا د کیش شویو ننوتلو شمیر لوړول وړتیا نه راګرځوي، ځکه دغه کارونه هغه تصدیقوونکی نه جوړوي چې پالیسي یې د ساتلو له منلو انکار کوي۔ حساب لکه څنګه چې ډیزاین شوی عمل کوي، او ډیزاین فرض کوي چې شبکه هغه وخت موجوده ده چې Windows غواړي۔ نښه د کیش خرابۍ په توګه ګڼل هغه لاره ده چې ټیمونه پرې هغه پروفایل بیا جوړوي چې هیڅکله نه و مات شوی۔

ولې تونل باید د ډیسکټاپ دمخه موجود وي

وسیلې باید د ډومین تصدیق ته په هغه شیبه ورسیږي چې Windows یې غواړي، او دا له هر کارونکي ناستې دمخه ده۔ هغه VPN پیرودونکی چې یوازې د ډیسکټاپ له ښکاره کیدو وروسته پیلېږي، نوی ننوتل د هغې لارې په تمه پریږدي چې هیڅکله نه رسیږي۔ تړاو ماشین ته اړه لري، نه هغه کارونکي ته چې لا نه دی ننوتلی۔

د پای ټکو او هویت مالکانو سره د توافق شوې ملاتړ شوې مخکې-ننوتلو ترتیبه وکاروئ۔ د کمپیوټر سند سره تصدیق شوی Always On VPN د وسیلې تونل هغه وخت سم دی چې مدیریت شوې وسیله د هغه ځای پرځای کولو مخکې شرطونه پوره کړي۔ د عرضه کوونکي ملاتړ شوی د ننوتلو سکرین یوځای کول بله غوره ده۔ اتوماتیک محرک لرونکی عادي کارونکي پروفایل هیڅ یو نه دی، که څه هم په پیرودونکي برخه کې ورته ښکاري۔

دغه لارې ته د ډومین لپاره د نومونو حل، د لاسرسي وړ ډومین کنټرولر او هغه تصدیق پروتوکولونه چې حساب یې کارولی شي اړتیا ده، او «وصل» شوی ښودونکی له دې څخه هیڅ نه برابروي۔ د هغې لارې او فلټرونه باید د هویت خدمتونه یوسي او بل څه چې اړین نه دي یې نه یوسي، ځکه هغه مخکښ لیست هغه سطحه ده چې غلا شوی لپټاپ یې له دې دمخه ترلاسه کوي چې څوک ننوځي۔ د کارونکي تونل لپاره اخیستل شوي ویشل شوي تونل پرېکړې د وسیلې تونل لپاره نه پلي کیږي، نو دواړه جلا وګورئ۔

لاسرسی د تصدیق سره تړاو نه دی

تونل کولای شي پاکټونه په بشپړه توګه یوسي خو ډومین تصدیق ناکام شي، ځکه هغه میکانیزم چې هڅه یې کیږي هغه دی چې حساب یې نه شي کارولی۔ په هغه ډومین کې چې د ګروپ محدودیتونه پلي کوي، NTLM غړو ته نه دی شته او Kerberos ته AES سره سم حساب او ترتیباتو اړتیا ده۔ د پاکټ لاره د دواړو هیڅ یو نه شي سمولای۔ له همدې امله ډومین کنټرولر ته پاک ping د ننوتلو د بریالیتوب ثبوت نه دی۔

کیدای شي دوه د اعتبارنامې سیسټمونه هم په کار وي۔ VPN کولای شي د هویت عرضه کوونکي سره تصدیق شي پداسې حال کې چې Windows جلا ډومین ننوتلو ته اړتیا لري، او د لومړي منل د دویم په اړه هیڅ نه وایي۔ «VPN وصل شو» او «کارونکي ننوتل وکړل» جلا کتنې دي، او یو سمول بل نه ثابتوي۔

د تصدیق شواهد ولولئ

د یوې هڅې لپاره پیښې له پیرودونکي او ډومین کنټرولر دواړو څخه راټولې کړئ، نه یوازې له یوې خوا۔ د Protected Users ثبتونه Applications and Services Logs\Microsoft\Windows\Authentication لاندې دي، او مدیر ممکن د څه ثبتیدو دمخه ثبت فعال کړي۔ د وخت نښې د تونل د خپل اتصال ثبت سره وتړئ، ځکه د ترتیب تیروتنه له دواړو خواوو د اعتبارنامې خرابۍ په څیر ښکاري۔

لاندې لومړی امر هر هغه تصدیق ثبت لیستوي چې وسیله یې ښکاره کوي، نو تاسو هغه لولئ چې شته، نه هغه چې بلاګ لیکنې نومولی دی۔ دویم د نوم له پوهیدو وروسته نوي ننوتنې لولي۔ د تصدیق بنډل، حساب او د ناکامۍ شرط وګورئ، ځکه ورکه شبکه لاره او رد شوی میکانیزم بیلابیل شواهد پریږدي او یوازې یو یې VPN ستونزه ده۔ که تونل د هڅې وروسته پورته شو، ترتیب غلط و، هر څه چې هغه ننوتنې ووایي۔

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

حد له سړې بیا پیل څخه ثابت کړئ

ازموینه له وتلې یا نوي پیل شوې حالت څخه په محدود حساب سره چل کړئ، او د ځانګړو کارونکو لپاره د څه بدلولو دمخه منل شوې بیا رغونه لاره پرانیستې وساتئ۔ په مخکې روان ډیسکټاپ ازموینه مهم د کوډ لارې هیڅ برخه نه تمرینوي، او همدا د بل بیا پیل تر وخته ټینګې شوې سمونې په اړه ډیرې راپورونه تشریح کوي۔ بیا څلور ګامونه په دې ترتیب پوره کړئ۔

1. تصدیق کړئ چې وسیله د چا ننوتلو دمخه ډومین کنټرولر موملای شي، په nltest /dsgetdc:corp.example.com سره۔
2. ډومین ننوتل وآزمویئ، بیا وپوښتئ چې ټکټ په بشپړه توګه ترلاسه شو، په klist سره۔
3. هغه تصدیق ثبت چې وسیله یې ثبتوي د پورتنۍ دوو امرونو سره ولولئ، او بنډل او د ناکامۍ شرط یادښت کړئ۔
4. تصدیق کړئ چې منل شوې بیا رغونه اعتبارنامه لا هم د ننوتلو سکرین څخه کار کوي، ځکه که د حد ازموینه ناکامه شي د بیرته راستنیدو یوازې هغه لار ده۔

د ورکړل شوو اعتبارنامو سره د فایل شریکول خلاصول هم آفلاین متقابل ننوتل نه جوړوي، نو دا د پورتنۍ هیڅ ګام بدیل نه دی۔ که موسسې په رښتیا بې اتصاله ننوتلو ته اړتیا لري، ځواب په قصد ټاکل شوی سم حساب او پای ټکی ډیزاین دی۔ حساب له ګروپ څخه ایستل، یا په هر لپټاپ کې یو پرته له محدودیت بیړني ننوتل ساتل، د هویت پالیسي پرېکړه ده چې VPN بدلون ستاسو په استازیتوب نه شي کولای۔

د Protected Users لاسوند د تصدیقوونکي چلند او هغه ډومین محدودیتونه چې دا ډیزاین پرې ولاړ دی دواړه بیانوي۔ د چا سفر دمخه د بیا رغونې بهیر پلان کړئ، ځکه د سړې بیا پیل ازموینه یوازې هغه ځای دی چې تمرین کیږي۔