Zakaj prenosnik s Protected Users potrebuje VPN pred prijavo

Prenosnik, delujoč račun in hotelsko omrežje skupaj tvorijo zanko prijave, ki je noben ponovni poskus ne prekine. Račun je v Protected Users, kar prepreči Windows, da bi shranil preverjevalnik, ki bi ga potreboval za preverjanje uporabnika brez povezave. Vsak načrt oblike »najprej se prijavite, nato povežite tunel« ima obrnjen vrstni red, zaščita pa dela točno to, kar obljublja. Naslednje predpostavlja tradicionalni račun Active Directory na podprtem gostitelju Windows.

Kaj zaščita v resnici odstrani

Windows običajno shrani preverjevalnik v predpomnilnik, da se lahko račun domene prijavi, ko je krmilnik domene nedosegljiv. Protected Users to za račun blokira, kar odstrani prijavo v domeno brez povezave kot možnost, namesto da bi jo naredilo nezanesljivo.

To ni običajna težava z zastarelim predpomnilnikom in običajna sredstva tu ne veljajo. Ponovna spletna prijava, še ena sprememba gesla ali zvišanje števila shranjenih prijav ne bodo obnovili zmožnosti, ker nobeno od teh dejanj ne ustvari preverjevalnika, ki ga politika zavrača shraniti. Račun se obnaša, kot je zasnovan, zasnova pa predpostavlja, da je omrežje prisotno, ko Windows vpraša. Obravnavanje simptoma kot okvare predpomnilnika je pot, po kateri ekipe obnavljajo profil, ki nikoli ni bil pokvarjen.

Zakaj mora tunel obstajati pred namizjem

Naprava mora doseči preverjanje domene v trenutku, ko Windows to zahteva, to pa je pred kakršno koli uporabniško sejo. Odjemalec VPN, ki se zažene šele po prikazu namizja, pusti novo prijavo čakati na pot, ki nikoli ne pride. Odvisnost pripada stroju, ne uporabniku, ki se še ni prijavil.

Uporabite podprto ureditev prijave pred prijavo, dogovorjeno z lastniki končnih točk in identitete. Tunel naprave Always On VPN, overjen s potrdilom računalnika, je primeren, ko upravljana naprava izpolnjuje predpogoje te uvedbe. Podprta integracija prijavnega zaslona ponudnika je druga možnost. Običen uporabniški profil z samodejnim sprožilcem ni ne eno ne drugo, ne glede na to, kako podobno je videti v vmesniku odjemalca.

Ta pot potrebuje razreševanje imen za domeno, dosegljiv krmilnik domene in protokole preverjanja, ki jih račun sme uporabljati, in noben kazalnik »povezano« tega ne ponuja. Njene poti in filtri naj nosijo storitve identitete in ničesar drugega, kar ni potrebno, ker je ta seznam predpon površina, ki jo ukraden prenosnik dobi, preden se kdo prijavi. Odločitve o razdeljenem tunelu, sprejete za uporabniški tunel, se ne prenesejo na tunel naprave, zato ju pregledajte ločeno.

Dosegljivost ni združljivost preverjanja

Tunel lahko brezhibno prenaša pakete, medtem ko preverjanje domene spodleti, ker je preizkušani mehanizem tak, ki ga račun ne sme uporabiti. V domeni, ki uveljavlja omejitve skupine, NTLM ni na voljo članom, Kerberos pa zahteva račun in konfiguracijo, združljivo z AES. Pot paketov ne more popraviti ne enega ne drugega. Zato čist ping na krmilnik domene ni dokaz, da bo prijava delovala.

V igri sta lahko tudi dva sistema poverilnic. VPN se lahko overi pri ponudniku identitete, medtem ko Windows ločeno potrebuje prijavo v domeno, in sprejetje prvega ne pove ničesar o drugem. »VPN se je povezal« in »uporabnik je prijavljen« sta ločeni opažanji in popravljanje enega ne pomeni drugega.

Preberite dokaze preverjanja

Zbirajte dogodke od odjemalca in od krmilnika domene za isti poskus, ne samo z ene strani. Dnevniki Protected Users so pod Applications and Services Logs\Microsoft\Windows\Authentication in skrbnik bo morda moral vklopiti dnevnik, preden karkoli zabeleži. Povežite časovne žige z lastnim dnevnikom povezave tunela, ker je napaka v vrstnem redu z obeh strani videti kot okvara poverilnic.

Prvi ukaz spodaj našteje vse dnevnike preverjanja, ki jih naprava razkrije, zato berete tistega, ki obstaja, in ne tistega, ki ga je navedla neka objava v blogu. Drugi bere nedavne vnose, ko poznate ime. Poiščite paket preverjanja, račun in pogoj napake, ker manjkajoča omrežna pot in zavrnjen mehanizem puščata različne dokaze in samo eden od njih je težava VPN. Če se je tunel dvignil po poskusu, je bil vrstni red napačen, karkoli pravijo ti vnosi.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Dokažite mejo s hladnega zagona

Izvedite preskus iz odjavljenega ali pravkar zagonskega stanja z omejenim računom in ohranite odprto odobreno pot obnovitve, preden karkoli spremenite za privilegirane uporabnike. Preskus na že delujočem namizju ne izvaja nobenega dela pomembne kodne poti, in to pojasnjuje večino poročil o popravku, ki je zdržal do naslednjega ponovnega zagona. Nato pojdite skozi štiri korake v tem vrstnem redu.

1. Potrdite, da naprava lahko najde krmilnik domene, preden se kdo prijavi, z nltest /dsgetdc:corp.example.com.
2. Poskusite prijavo v domeno in nato vprašajte, ali je bila vstopnica sploh pridobljena, z klist.
3. Preberite dnevnik preverjanja, ki ga naprava beleži, z dvema zgornjima ukazoma, in zabeležite paket ter pogoj napake.
4. Potrdite, da odobrena rezervna poverilnica še vedno deluje s prijavnega zaslona, ker je to edina pot nazaj, če preskus meje spodleti.

Odpiranje datotečnega omrežnega dela s posredovanimi poverilnicami prav tako ne ustvari interaktivne prijave brez povezave, zato ne nadomesti nobenega zgornjega koraka. Če organizacija resnično potrebuje prijavo brez povezave, je odgovor združljiva zasnova računa in končne točke, izbrana namerno. Odstranitev računa iz skupine ali ohranjanje ene neomejene zasilne prijave na vsakem prenosniku je odločitev o politiki identitete, ki je sprememba VPN ne more sprejeti za vas.

Dokumentacija Protected Users opisuje tako vedenje preverjevalnika kot omejitve domene, od katerih je odvisna ta zasnova. Načrtujte proces obnovitve, preden kdo potuje, ker je preskus hladnega zagona edini kraj, kjer se to uri.