Sababta kombuyuutar Protected Users uu ugu baahan yahay VPN ka hor gelitaanka

Kombuyuutar, akoon shaqaynaya iyo shabakad hudheel ah ayaa wadaagood u sameeya wareeg gelitaan oo aanay hal isku-day la soo noqnoqday jebin. Akoonku waxa uu ku jiraa Protected Users, taas oo Windows ka horjoogsata inuu kaydiyo xaqiijiyaha uu uga baahan lahaa xaqiijinta isticmaalaha offline. Qorshe kasta oo qaab «marka hore gal, ka dibna xidh tunnel-ka» leh wuxuu leeyahay nidaam rogan, iyo ilaalintu waxay samaysaa si sax ah waxa ay ballanqaaday. Waxa soo socdaa waxa uu u malaynayaa akoon caadi ah oo Active Directory ah oo ku yaal martigeliyaha Windows la taageeray.

Waxa ilaalintu dhab ahaan ka saarto

Caadi ahaan Windows waxa uu kaydiyaa xaqiijiyaha si akoonka domain-ku uu u galo marka kontoroolaha domain-ku aanu la gaari karin. Protected Users waxa uu taas ka horjoogsadaa akoonka, taas oo ka saarta gelitaanka domain-ka offline sida suurtagalnimada halkii ay ka dhigi lahayd mid aan la isku halayn karin.

Tani maaha dhibaatada caadiga ah ee kaydka duugoobay, iyo dawooyinka caadiga ah halkan ma khuseeyaan. Gelitaan online oo soo noqnoqda, beddelka furaha mar kale ama kor u qaadista tirada gelitaannada la kaydiyay ma soo celin doonaan awoodda, sababtoo ah mid ka mid ah falalkan ma abuuro xaqiijiyaha uu siyaasaddu diidday inuu kaydiyo. Akoonku waxa uu u dhaqmaa sida loo qorsheeyay, qorshahuna waxa uu u malaynayaa in shabakaddu joogto marka Windows uu weydiiyo. Calaamadda u daawaynta sida cilad kayd ayaa ah dariiqa ay kooxuhu ku dhisaan profile aan waligiis jabin.

Sababta tunnel-ku ugu qasban yahay inuu jiraa ka hor desktop-ka

Qalabku waa inuu gaadhaa xaqiijinta domain-ka isla daqiiqadda uu Windows codsado, taas oo ah ka hor inta aanay jirin wax fadhi isticmaale ah. Macmiilka VPN ee bilaabma kaliya ka dib marka desktop-ku soo baxo waxa uu gelitaan cusub ku reebaa sugitaanka waddo aan waligeed iman. Ku-tiirsanaantu waxa ay leedahay mishiinka, ma aha isticmaalaha aan wali gelin.

Isticmaal hab qorshaysan oo la taageeray oo gelitaan ka hor ah oo lala miiqday milkiilayaasha dhibcaha iyo aqoonsiga. Tunnel-ka qalabka Always On VPN oo lagu xaqiijiyay shahaadada kombuyuutarku waa ku habboon marka qalabka la maamulo uu buuxiyo shuruudaha hore ee hawshaas. Isku-dhafka shaashadda gelitaanka ee la taageeray ee iibiyuhu waa ikhtiyaar kale. Profile isticmaale caadi ah oo leh kiciye otomaatig ah midkoodna maaha, si kasta oo uu ugu eg yahay is-dhexgalka macmiilka.

Waddadaas waxa ay u baahan tahay xallinta magacyada domain-ka, kontorool domain oo la gaari karo iyo borotokoollada xaqiijinta ee akoonku isticmaali karo, oo calaamad «xidhan» midkoodna ma bixiso. Waddooyinkeeda iyo shaandhaynteeda waa in ay qaadaan adeegyada aqoonsiga oo aanay qaadin wax kale oo aan loo baahnayn, sababtoo ah liiska horgalahaas waa dusha uu kombuyuutar la xaday helo ka hor inta qofna gelin. Go'aannada tunnel-ka qaybsan ee loo qaatay tunnel-ka isticmaalaha kuma gudbaan tunnel-ka qalabka, sidaas darteed labadaba si gooni ah u eeg.

Gaaritaanku maaha is-waafajinta xaqiijinta

Tunnel-ku waxa uu si fiican u qaadi karaa baakadaha halka xaqiijinta domain-ku guuldarraysto, sababtoo ah habka la isku dayayo waa mid aan akoonku isticmaali karin. Domain ku dhaqangelinaya xannibaadaha kooxda, NTLM lagama heli karo xubnaha, Kerberos-na waxa uu u baahan yahay akoon iyo qaabayn la jaanqaad leh AES. Waddada baakaduhu midkoodna ma hagaajin karto. Taas ayaa sabab u ah in ping nadiif ah oo kontoroolka domain-ka loo diro aanu ahayn caddayn in gelitaanku shaqayn doono.

Waxa kale oo laga yaabaa in laba nidaam oo aqoonsi ah ay socdaan. VPN waxa uu ku xaqiijin karaa bixiye aqoonsi halka Windows si gooni ah ugu baahan yahay gelitaan domain, oo aqbalaadda kan hore waxba kama sheegto kan labaad. «VPN-ga wuu xidhmay» iyo «isticmaalaha wuu galay» waa indho-indhayn gooni ah, oo mid hagaajintu ma tilmaamayso tan kale.

Akhri caddaynta xaqiijinta

Ururi dhacdooyinka macmiilka iyo kontoroolka domain-ka isla isku-daykaas, ma aha hal dhinac oo keliya. Diiwaannada Protected Users waxa ay ku hoos jiraan Applications and Services Logs\Microsoft\Windows\Authentication, oo maamuluhu waxa laga yaabaa inuu u baahdo inuu daari diiwaan ka hor inta wax la diiwaangelin. Xidhiidhi timestamps-ka diiwaanka xidhiidhka tunnel-ka laftiisa, sababtoo ah khalad nidaamku waxa uu u muuqdaa sida cilad aqoonsi labada dhinac.

Amarka koowaad ee hoose waxa uu taxaa diiwaan kasta oo xaqiijin ah oo qalabku soo bandhigo, sidaas darteed waxa aad akhridaa kan jira ee ma aha kan boostada blog ku magacawday. Kan labaad waxa uu akhridaa gelitaannada dhawaan marka aad taqaan magaca. Raadi baakadda xaqiijinta, akoonka iyo xaaladda guuldarrada, sababtoo ah waddo shabakadeed maqan iyo hab la diiday waxa ay ka tagaan caddayn kala duwan oo mid keliya ayaa dhibaatada VPN. Haddii tunnel-ku soo kacay isku-dayka ka dib, nidaamku waa khalad ahaa wax kasta oo gelitaannadaas sheegaan.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Caddee xadka laga bilaabo qabow-kici

Kici tijaabada laga bilaabo xaalad laga baxay ama hadda kacday oo leh akoon xaddidan, oo hayso waddo soo-kabasho la ansixiyay oo furan ka hor inta aad wax u beddelo isticmaalayaasha mudnaanta leh. Tijaabada desktop hore u shaqaynaya waxba kama barato waddada koodka muhiimka ah, taasina waxa ay sharraxdaa inta badan warbixinnada hagaajin ku hadhay ilaa dib-u-kicinta xigta. Kadib mar afarta tallaabo nidaamkan.

1. Xaqiiji in qalabku heli karo kontorool domain ka hor inta qofna gelin, nltest /dsgetdc:corp.example.com.
2. Isku day gelitaanka domain-ka, kadib weydii haddii tikit lagu helay gabi ahaanba, klist.
3. Akhri diiwaanka xaqiijinta ee qalabku diiwaangeliyo, labada amar ee kore, oo qor baakadda iyo xaaladda guuldarrada.
4. Xaqiiji in aqoonsiga soo-kabashada la ansixiyay uu weli ka shaqeeyo shaashadda gelitaanka, sababtoo ah waa waddada keliya ee dib loogu noqdo haddii tijaabada xadku guuldarraysto.

Furista wadaagga faylka oo leh aqoonsi la bixiyay sidoo kale ma abuurto gelitaan is-dhexgal offline, sidaas darteed ma beddelo mid ka mid ah tallaabooyinka kore. Haddii ururku dhab ahaan u baahan yahay gelitaan aan xidhiidh lahayn, jawaabtu waa naqshad akoon iyo dhibic-dhamaad la jaanqaad leh oo si ula kac ah loo doortay. Akoonka kooxda ka saarista, ama hal gelitaan degdeg ah oo aan xaddidnayn ku haynta kombuyuutar kasta, waa go'aan siyaasad aqoonsi oo aan beddelka VPN kuu qaadi karin.

Dukumentiga Protected Users waxa uu qeexaa habdhaqanka xaqiijiyaha iyo xannibaadaha domain-ka ee naqshaddan ku tiirsan tahay labadaba. Qorshee habka soo-kabashada ka hor inta qofna safrin, sababtoo ah tijaabada qabow-kicinta waa goobta keliya ee la tababaro.