Zakaj domenski prenosnik sprejme staro geslo brez povezave

Sprememba gesla prispe povsod hkrati, razen na tistem edinem prenosniku, ki je bil teden dni brez povezave. Spletna pošta sprejme novo geslo, namizni računalnik v pisarni ga prav tako, oddaljeni stroj pa se ob izpadu VPN še vedno prijavi s starim. To ni drugo geslo in ni napaka pri sinhronizaciji imenika. To je predpomnjeni preverjevalnik prijave, ki dela tisto, za kar je bil zasnovan, in rešitev je zaporedje korakov, ne ponastavitev.

Prenosnik preverja predpomnjeni preverjevalnik

Windows, pridružen domeni, hrani lokalni preverjevalnik za nedavne uspešne interaktivne prijave, da se lahko stroj zažene, ko se noben krmilnik domene ne odzove. Ta preverjevalnik je izpeljan iz gesla, kakršno je bilo ob tisti prijavi. Sprememba gesla drugje posodobi imenik, ne pa kopije na prenosniku, ki se od takrat ni pogovarjal z njim.

Staro geslo torej še vedno lahko odpre lokalno sejo, čeprav ni veljavno za nobeno novo preverjanje identitete v domeni. To sta dve različni opažanji, njuno mešanje pa vodi v ponavljajoče se ponastavitve.

Preden spremenite karkoli drugega, potrdite, katere poverilnice se dejansko uporabljajo. PIN za Windows Hello, prijava z Entra ID in tradicionalno domensko geslo so ločeni mehanizmi, in PIN prav posebej ni domensko geslo, tudi ko odklene isto namizje.

Omrežno preverjanje identitete ni interaktivna prijava

Odpiranje omrežnega deljenja z novim geslom dokazuje, da omrežna pot deluje. Ne osveži pa predpomnilnika interaktivne prijave, ker Windows obravnava omrežno in interaktivno preverjanje identitete kot ločeni operaciji z ločenim stanjem.

Preverjevalnik se osveži le, ko interaktivna prijava dejansko stopi v stik s krmilnikom domene; preslikan pogon ali poziv programa Outlook tega ne storita.

Ta razlika pojasnjuje običajno poročilo: uporabnik lahko bere pošto in odpre intranet, zaklepni zaslon pa še vedno zahteva staro geslo. Pojasnjuje tudi, zakaj VPN, zagnan po prijavi, ne more pomagati začetni prijavi, saj tunel prispe šele potem, ko je odločitev že sprejeta lokalno.

Priskrbite si eno spletno prijavo ob pravem trenutku

Predpomnilnik se osveži, ko se uporabnik prijavi interaktivno, medtem ko je domena dosegljiva. Pri oddaljenem stroju to pomeni, da mora tunel obstajati pred oceno poverilnic, ne pa po tem, ko se prikaže namizje.

Preverite, ali uvedba podpira povezljivost pred prijavo ali tunel naprave. Ti so zasnovani prav za ta trenutek, uporabniški tunel pa jih ne nadomesti:

nltest /dsgetdc:corp.example
klist

Če končna točka nima poti pred prijavo, uporabite podprt postopek obnovitve, ki ga organizacija dokumentira. Nekatera okolja uporabljajo zaporedje poveži, zakleni in odklenej s tunelom, ki ostane odprt na zaklepnem zaslonu; druga pošljejo napravo v upravljani korak obnovitve. Sledite tistemu, ki ustreza odjemalcu, in preden se nanj zanesete, potrdite, da tunel preživi zaklepni zaslon.

Zaščitite pot nazaj

Preden se odjavite z oddaljenega stroja, se odločite, kako bo naslednja prijava dosegla domeno. Uporabniški tunel, ki pade skupaj s sejo, lahko odstrani edino pot, na katero ste računali, in takrat vas ne staro ne novo geslo ne spusti skozi zaklepni zaslon. Kot rezervo imejte lokalni skrbniški račun ali konzolo zunaj pasovne širine. Korak obnovitve zapišite tja, kjer ga uporabnik doseže brez prijave.

Za podporo zberite štiri dejstva: kje je bilo geslo spremenjeno, katere poverilnice še delujejo brez povezave, ali je krmilnik domene dosegljiv skozi tunel in katero metodo prijave uporablja prenosnik.

Ta štiri ločujejo zastarel preverjevalnik od zaklepa računa ali zavrnjene prijave VPN, ki so v zahtevku videti podobno in imajo različne rešitve. Zaklenjen račun bo zavrnil novo geslo tudi na spletu, zato to preizkusite, preden okrivite predpomnilnik.

Zaprite zanko z eno spletno prijavo

Cilj je ena podprta interaktivna prijava, medtem ko je domena dosegljiva, ki ji sledi znano stanje brez povezave. Ta posamezni dogodek osveži preverjevalnik in konča krog spreminjanja gesla na vsaki napravi.

Stanje nato preverite s številom predpomnjenih prijav in iskanjem krmilnika domene:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Če je število nič, je predpomnjena prijava onemogočena s pravilnikom in vedenje brez povezave se ne bo spremenilo, ne glede na to, kolikokrat je geslo ponastavljeno. To je odločitev o pravilniku, ki jo je treba izpostaviti pri lastniku, ne pa obhod, ki bi ga uporabili lokalno.