De ce un laptop de domeniu acceptă parola veche offline

O schimbare de parolă ajunge peste tot deodată, cu excepția acelui laptop care a fost offline o săptămână. Webmailul acceptă parola nouă, un desktop din birou o acceptă și el, iar mașina la distanță se conectează în continuare cu cea veche când VPN-ul este căzut. Nu este o a doua parolă și nici o eroare de sincronizare în director. Este verificatorul de conectare din cache făcând ceea ce a fost proiectat să facă, iar soluția este o succesiune de pași, nu o resetare.

Laptopul verifică un verificator din cache

Windows-ul unit la domeniu păstrează un verificator local pentru conectările interactive reușite recente, astfel încât mașina să poată porni când niciun controler de domeniu nu răspunde. Acel verificator este derivat din parola așa cum era la acea conectare. Schimbarea parolei în altă parte actualizează directorul, nu copia de pe un laptop care nu a mai vorbit cu el de atunci.

Așadar, parola veche poate deschide în continuare sesiunea locală, deși este invalidă pentru orice autentificare de domeniu nouă. Sunt două observații diferite, iar amestecarea lor duce la resetări repetate.

Confirmați ce acreditare este folosită de fapt înainte de a schimba orice altceva. Un PIN Windows Hello, o conectare cu Entra ID și o parolă de domeniu tradițională sunt mecanisme separate, iar PIN-ul în special nu este parola domeniului chiar și atunci când deblochează același desktop.

Autentificarea de rețea nu este conectare interactivă

Deschiderea unei partajări de fișiere cu parola nouă dovedește că calea de rețea funcționează. Nu reîmprospătează cache-ul conectării interactive, pentru că Windows tratează autentificarea de rețea și cea interactivă ca operațiuni separate, cu stare separată.

Verificatorul se reîmprospătează doar când o conectare interactivă contactează efectiv un controler de domeniu; un disc mapat sau un prompt Outlook nu fac asta.

Această distincție explică raportul obișnuit: utilizatorul poate citi e-mailul și deschide intranetul, dar ecranul de blocare cere în continuare parola veche. Explică și de ce un VPN pornit după conectare nu poate ajuta conectarea inițială, deoarece tunelul sosește după ce decizia a fost deja luată local.

Obțineți o conectare online la momentul potrivit

Cache-ul se reîmprospătează când utilizatorul se conectează interactiv în timp ce domeniul este accesibil. Pentru o mașină la distanță, asta înseamnă că tunelul trebuie să existe înainte de evaluarea acreditării, nu după ce apare desktopul.

Verificați dacă implementarea acceptă conectivitate înainte de conectare sau un tunel de dispozitiv. Acestea sunt proiectate exact pentru acest moment, iar un tunel de utilizator nu le înlocuiește:

nltest /dsgetdc:corp.example
klist

Dacă punctul final nu are o cale înainte de conectare, folosiți procesul de recuperare acceptat pe care organizația îl documentează. Unele medii folosesc o succesiune de conectare, blocare și deblocare cu tunelul ținut deschis pe ecranul de blocare; altele trimit dispozitivul la un pas de recuperare gestionat. Urmați-l pe cel care se potrivește clientului și, înainte de a vă baza pe el, confirmați că tunelul supraviețuiește ecranului de blocare.

Protejați calea de întoarcere

Înainte de a vă deconecta de la o mașină la distanță, decideți cum va ajunge următoarea conectare la domeniu. Un tunel de utilizator care cade odată cu sesiunea poate elimina singura cale pe care contați, iar atunci nici parola veche, nici cea nouă nu vă trec de ecranul de blocare. Păstrați un cont administrativ local sau o consolă în afara benzii ca rezervă. Scrieți pasul de recuperare acolo unde utilizatorul îl poate atinge fără să se conecteze.

Pentru suport, colectați patru fapte: unde a fost schimbată parola, ce acreditare mai funcționează offline, dacă un controler de domeniu este accesibil prin tunel și ce metodă de conectare folosește laptopul.

Aceste patru separă un verificator învechit de o blocare a contului sau de o conectare VPN respinsă, care într-un tichet arată la fel și au remedieri diferite. Un cont blocat va respinge parola nouă și online, așa că testați asta înainte de a da vina pe cache.

Închideți bucla cu o conectare online

Scopul este o conectare interactivă acceptată în timp ce domeniul este accesibil, urmată de o stare offline cunoscută. Acel singur eveniment reîmprospătează verificatorul și încheie ciclul schimbării parolei pe fiecare dispozitiv.

Verificați starea după aceea cu numărul de conectări din cache și o căutare a controlerului de domeniu:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Dacă numărul este zero, conectarea din cache este dezactivată prin politică și comportamentul offline nu se va schimba, indiferent de câte ori este resetată parola. Este o decizie de politică ce trebuie ridicată la proprietar, nu o soluție ocolitoare de aplicat local.