Protected Users ලැප්ටොප් පරිගණකයට පිවිසීමට පෙර VPN අවශ්‍ය වන්නේ ඇයි
Protected Users, පිවිසුම් සත්‍යාපකය Windows හි සංචිත කිරීම වළක්වන බැවින්, ඩෙස්ක්ටොප් පෙරවරුවේ ටනලය පැවතිය යුතුය. මායිම ඔප්පු කරන්න, පසුව විකල්ප මාර්ගය පරීක්ෂා කරන්න.
ලැප්ටොප් පරිගණකයක්, ක්‍රියාකාරී ගිණුමක් සහ හෝටල් ජාලයක් එක්ව කිසිදු නැවත උත්සාහයකින් නොකැඩෙන පිවිසුම් චක්‍රයක් සාදයි. ගිණුම Protected Users තුළ පවතී, එය පරිශීලකයා නොබැඳි ලෙස සත්‍යාපනය කිරීමට අවශ්‍ය සත්‍යාපකය Windows හි ගබඩා කිරීම වළක්වයි. «මුලින්ම පිවිසෙන්න, පසුව ටනලය සම්බන්ධ කරන්න» ආකාරයේ ඕනෑම සැලසුමක අනුපිළිවෙල ආපසු හැරී ඇත, සහ ආරක්ෂාව එය පොරොන්දු වූ දේ හරියටම කරයි. පහත දැක්වෙන්නේ ආධාරක Windows සත්කාරකයක සාම්ප්‍රදායික Active Directory ගිණුමක් යැයි උපකල්පනය කරයි.
ආරක්ෂාව සැබවින්ම ඉවත් කරන්නේ කුමක්ද
සාමාන්‍යයෙන් Windows සත්‍යාපකයක් සංචිත කරන්නේ ඩොමේන් පාලකයාට ළඟා විය නොහැකි විටත් ඩොමේන් ගිණුමට පිවිසිය හැකි වන පරිදිය. Protected Users එය ගිණුම සඳහා අවහිර කරයි, එය නොබැඳි ඩොමේන් පිවිසුම විශ්වාස කළ නොහැකි කිරීම වෙනුවට හැකියාවක් ලෙස ඉවත් කරයි.
මෙය පැරණි සංචිතයේ සාමාන්‍ය ගැටලුව නොවේ, සහ සාමාන්‍ය පිළියම් මෙහි අදාළ නොවේ. නැවත නැවත සබැඳිව පිවිසීම, තවත් වරක් මුරපදය වෙනස් කිරීම හෝ සංචිත පිවිසුම් ගණන වැඩි කිරීම ධාරිතාව යථා තත්ත්වයට පත් නොකරනු ඇත, මන්ද එම ක්‍රියාවලින් කිසිවක් ප්‍රතිපත්තිය ගබඩා කිරීම ප්‍රතික්ෂේප කරන සත්‍යාපකය සාදන්නේ නැත. ගිණුම නිර්මාණය කළ පරිදි හැසිරෙන අතර, නිර්මාණය උපකල්පනය කරන්නේ Windows ඉල්ලන විට ජාලය පවතින බවය. රෝග ලක්ෂණය සංචිත දෝෂයක් ලෙස සැලකීම කණ්ඩායම් කිසිදා නොකැඩුණු පැතිකඩක් නැවත ගොඩනඟන මාර්ගයයි.
ටනලය ඩෙස්ක්ටොප් පෙරවරුවේ පැවතිය යුත්තේ ඇයි
Windows ඉල්ලන මොහොතේම, එනම් කිසිදු පරිශීලක සැසියක් නොපවතින විටම, උපාංගය ඩොමේන් සත්‍යාපනයට ළඟා විය යුතුය. ඩෙස්ක්ටොප් දිස්වීමෙන් පසුව පමණක් ආරම්භ වන VPN සේවාදායකය නව පිවිසුමක් කිසිදා නොඑන මාර්ගයක් සඳහා රැඳී සිටීමට තබයි. යැපීම යන්ත්‍රයට අයත් වේ, තවම පිවිසී නැති පරිශීලකයාට නොවේ.
අන්ත ලක්ෂ්‍ය සහ අනන්‍යතා හිමිකරුවන් සමඟ එකඟ වූ ආධාරක පෙර-පිවිසුම් සැකසුමක් භාවිත කරන්න. පරිගණක සහතිකයකින් සත්‍යාපිත Always On VPN උපාංග ටනලය කළමනාකෘත උපාංගය එම යෙදවීමේ පූර්ව කොන්දේසි සපුරාලන විට සුදුසු වේ. සැපයුම්කරුවෙකුගේ ආධාරක පිවිසුම් තිර ඒකාබද්ධතාවය තවත් විකල්පයකි. ස්වයංක්‍රීය ට්‍රිගරයක් සහිත සාමාන්‍ය පරිශීලක පැතිකඩක් දෙකෙන් එකක්වත් නොවේ, සේවාදායක අතුරුමුහුණතේ කෙතරම් සමානව පෙනුනත්.
එම මාර්ගයට ඩොමේන් සඳහා නාම විභේදනය, ළඟා විය හැකි ඩොමේන් පාලකයක් සහ ගිණුමට භාවිත කළ හැකි සත්‍යාපන ප්‍රොටෝකෝල අවශ්‍ය වන අතර, «සම්බන්ධයි» දර්ශකය ඒ කිසිවක් ලබා නොදේ. එහි මාර්ග සහ පෙරහන් අනන්‍යතා සේවා පමණක් රැගෙන යා යුතු අතර අවශ්‍ය නොවන වෙනත් කිසිවක් නොවිය යුතුය, මන්ද එම උපසර්ග ලැයිස්තුව යනු සොරකම් කළ ලැප්ටොප් පරිගණකයක් කිසිවෙකු පිවිසීමට පෙර ලබන මතුපිටය. පරිශීලක ටනලය සඳහා ගත් විභක්ත ටනල් තීරණ උපාංග ටනලයට අදාළ නොවේ, එබැවින් දෙකම වෙන් වෙන්ව සමාලෝචනය කරන්න.
ළඟාවීම සත්‍යාපන ගැළපුම නොවේ
ටනලයකට පැකට් නිදොස්ව රැගෙන යා හැකි වුවත් ඩොමේන් සත්‍යාපනය අසාර්ථක විය හැක, මන්ද උත්සාහ කරන යාන්ත්‍රණය ගිණුමට භාවිත කළ නොහැකි එකකි. කණ්ඩායමේ සීමා ක්‍රියාත්මක කරන ඩොමේන් එකක සාමාජිකයින්ට NTLM නොමැති අතර Kerberos සඳහා AES-ගැළපෙන ගිණුමක් සහ වින්‍යාසයක් අවශ්‍ය වේ. පැකට් මාර්ගයකට ඒ දෙකෙන් එකක්වත් අලුත්වැඩියා කළ නොහැක. එබැවින් ඩොමේන් පාලකයාට පිරිසිදු ping එකක් පිවිසුම සාර්ථක වන බවට සාක්ෂියක් නොවේ.
අක්තපත්‍ර පද්ධති දෙකක් ද සම්බන්ධ විය හැක. VPN අනන්‍යතා සපයන්නෙකු සමඟ සත්‍යාපනය කළ හැකි අතර Windows වෙන් වෙන්ව ඩොමේන් පිවිසුමක් අවශ්‍ය කරයි, සහ පළමුවැන්නේ පිළිගැනීම දෙවැන්න ගැන කිසිවක් නොකියයි. «VPN සම්බන්ධ විය» සහ «පරිශීලකයා පිවිසුණි» වෙන් වෙන් නිරීක්ෂණ වන අතර, එකක් නිවැරදි කිරීම අනෙක අදහස් නොකරයි.
සත්‍යාපන සාක්ෂි කියවන්න
එකම උත්සාහය සඳහා සිදුවීම් සේවාදායකයෙන් සහ ඩොමේන් පාලකයෙකුගෙන් එකතු කරන්න, එක් පැත්තකින් පමණක් නොවේ. Protected Users ලොග Applications and Services Logs\Microsoft\Windows\Authentication යටතේ ඇත, සහ යමක් වාර්තා කිරීමට පෙර පරිපාලකයාට ලොගයක් සක්‍රීය කිරීමට සිදු විය හැක. කාල මුද්‍රා ටනලයේම සම්බන්ධතා ලොගය සමඟ සහසම්බන්ධ කරන්න, මන්ද අනුපිළිවෙල දෝෂයක් දෙපැත්තෙන්ම අක්තපත්‍ර දෝෂයක් ලෙස පෙනේ.
පහත පළමු විධානය උපාංගය විවෘත කරන සෑම සත්‍යාපන ලොගයක්ම ලැයිස්තුගත කරයි, එබැවින් ඔබ කියවන්නේ බ්ලොග් සටහනක් නම් කළ එක නොව පවතින එකය. දෙවැන්න නම දැනගත් පසු මෑත සටහන් කියවයි. සත්‍යාපන පැකේජය, ගිණුම සහ අසාර්ථක වීමේ කොන්දේසිය සොයන්න, මන්ද නොපවතින ජාල මාර්ගයක් සහ ප්‍රතික්ෂේප වූ යාන්ත්‍රණයක් වෙනස් සාක්ෂි ඉතිරි කරන අතර ඉන් එකක් පමණක් VPN ගැටලුවකි. උත්සාහයෙන් පසු ටනලය ඉහළ ගියේ නම්, එම සටහන් කුමක් කීවත් අනුපිළිවෙල වැරදිය.
Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20සීතල ඇරඹුමකින් මායිම ඔප්පු කරන්න
පරීක්ෂණය පිවිසීමෙන් පිටවූ හෝ අලුතින් ඇරඹුණු තත්ත්වයකින් සීමිත ගිණුමක් සමඟ ක්‍රියාත්මක කරන්න, සහ විශේෂ අවසර ලත් පරිශීලකයින් සඳහා කිසිවක් වෙනස් කිරීමට පෙර අනුමත ප්‍රතිසාධන මාර්ගයක් විවෘතව තබන්න. දැනටමත් ක්‍රියාත්මක වන ඩෙස්ක්ටොප් එකක පරීක්ෂණය වැදගත් කේත මාර්ගයේ කිසිදු කොටසක් අභ්‍යාස නොකරයි, සහ ඊළඟ නැවත ඇරඹුම දක්වා රැඳුණු නිවැරදි කිරීමක් පිළිබඳ බොහෝ වාර්තා මෙයින් පැහැදිලි වේ. පසුව පියවර හතර මෙම අනුපිළිවෙලින් සම්පූර්ණ කරන්න.
- කිසිවෙකු පිවිසීමට පෙර උපාංගයට ඩොමේන් පාලකයක් සොයාගත හැකි බව
nltest /dsgetdc:corp.example.comසමඟ තහවුරු කරන්න. - ඩොමේන් පිවිසුම උත්සාහ කරන්න, පසුව ටිකට්පතක් කිසිසේත් ලැබුණාදැයි
klistසමඟ අසන්න. - උපාංගය වාර්තා කරන සත්‍යාපන ලොගය ඉහත විධාන දෙක සමඟ කියවා, පැකේජය සහ අසාර්ථක වීමේ කොන්දේසිය සටහන් කරන්න.
- අනුමත ප්‍රතිසාධන අක්තපත්‍රය තවමත් පිවිසුම් තිරයෙන් ක්‍රියා කරන බව තහවුරු කරන්න, මන්ද මායිම් පරීක්ෂණය අසාර්ථක වුවහොත් ආපසු යාමට ඇති එකම මාර්ගය එයයි.
ලබා දුන් අක්තපත්‍ර සමඟ ගොනු බෙදාගැනීමක් විවෘත කිරීම ද නොබැඳි අන්තර්ක්‍රියාකාරී පිවිසුමක් සාදන්නේ නැත, එබැවින් එය ඉහත කිසිදු පියවරකට ආදේශකයක් නොවේ. සංවිධානයට සැබවින්ම සම්බන්ධතාවයකින් තොර පිවිසුමක් අවශ්‍ය නම්, පිළිතුර වන්නේ හිතාමතා තෝරාගත් ගැළපෙන ගිණුම් සහ අන්ත ලක්ෂ්‍ය නිර්මාණයකි. ගිණුම කණ්ඩායමෙන් ඉවත් කිරීම, හෝ සෑම ලැප්ටොප් පරිගණකයකම එක් අසීමිත හදිසි පිවිසුමක් තබා ගැනීම, VPN වෙනසකට ඔබ වෙනුවෙන් ගත නොහැකි අනන්‍යතා ප්‍රතිපත්ති තීරණයකි.
Protected Users ලේඛනය සත්‍යාපකයේ හැසිරීම සහ මෙම නිර්මාණය යැපෙන ඩොමේන් සීමා දෙකම විස්තර කරයි. කිසිවෙකු ගමන් කිරීමට පෙර ප්‍රතිසාධන ක්‍රියාවලිය සැලසුම් කරන්න, මන්ද සීතල-ඇරඹුම් පරීක්ෂණය එය අභ්‍යාස කරන එකම ස්ථානයයි.