Pse një laptop domeni pranon fjalëkalimin e vjetër jashtë linje

Një ndryshim fjalëkalimi arrin kudo njëherësh, përveç atij laptopi të vetëm që ka qenë jashtë linje për një javë. Webmail-i pranon fjalëkalimin e ri, një desktop në zyrë e pranon gjithashtu, dhe makina në distancë vazhdon të hyjë me atë të vjetër kur VPN-ja është jashtë. Nuk është fjalëkalim i dytë dhe as defekt sinkronizimi në drejtori. Është verifikuesi i ruajtur i hyrjes që bën atë për të cilën është ndërtuar, dhe zgjidhja është një sekuencë, jo një rivendosje.

Laptopi po kontrollon një verifikues të ruajtur

Windows-i i bashkuar në domen mban një verifikues lokal për hyrjet interaktive të suksesshme të fundit, që makina të mund të niset kur asnjë kontrollues domeni nuk përgjigjet. Ai verifikues rrjedh nga fjalëkalimi ashtu siç ishte në atë hyrje. Ndryshimi i fjalëkalimit diku tjetër përditëson drejtorinë, jo kopjen në laptopin që nuk ka biseduar me të që atëherë.

Prandaj fjalëkalimi i vjetër mund të hapë ende sesionin lokal, ndonëse është i pavlefshëm për çdo vërtetim të ri domeni. Këto janë dy vëzhgime të ndryshme, dhe përzierja e tyre çon në rivendosje të përsëritura.

Konfirmoni cila kredenciale është në lojë përpara se të ndryshoni çdo gjë tjetër. Një PIN i Windows Hello, një hyrje me Entra ID dhe një fjalëkalim tradicional i domenit janë mekanizma të ndarë, dhe PIN-i në veçanti nuk është fjalëkalimi i domenit edhe kur zhbllokon të njëjtin desktop.

Vërtetimi i rrjetit nuk është hyrje interaktive

Hapja e një ndarjeje skedarësh me fjalëkalimin e ri provon se rruga e rrjetit funksionon. Megjithatë nuk rifreskon memorien e hyrjes interaktive, sepse Windows-i i trajton vërtetimin e rrjetit dhe atë interaktiv si operacione të ndara me gjendje të ndarë.

Verifikuesi rifreskohet vetëm kur një hyrje interaktive kontakton vërtet një kontrollues domeni; një disk i lidhur ose një kërkesë e Outlook nuk e bëjnë këtë.

Ky dallim shpjegon raportin e zakonshëm: përdoruesi mund të lexojë postën dhe të hapë intranetin, por ekrani i bllokimit ende kërkon fjalëkalimin e vjetër. Gjithashtu shpjegon pse një VPN e nisur pas hyrjes nuk mund të ndihmojë hyrjen fillestare, pasi tuneli vjen pasi vendimi është marrë tashmë lokalisht.

Siguroni një hyrje në internet në momentin e duhur

Memoria rifreskohet kur përdoruesi hyn në mënyrë interaktive ndërsa domeni është i arritshëm. Për një makinë në distancë kjo do të thotë që tuneli duhet të ekzistojë përpara vlerësimit të kredenciales, jo pasi shfaqet desktopi.

Kontrolloni nëse vendosja mbështet lidhje përpara hyrjes ose një tunel pajisjeje. Ato janë ndërtuar pikërisht për këtë moment, dhe një tunel përdoruesi nuk i zëvendëson:

nltest /dsgetdc:corp.example
klist

Nëse pika fundore nuk ka rrugë përpara hyrjes, përdorni procesin e mbështetur të rikuperimit që organizata dokumenton. Disa mjedise përdorin një sekuencë lidh, bllokim dhe zhbllokim me tunelin të hapur në ekranin e bllokimit; të tjerë e dërgojnë pajisjen në një hap të menaxhuar rikuperimi. Ndiqni atë që përputhet me klientin dhe, përpara se të mbështeteni tek ai, konfirmoni që tuneli i mbijeton ekranit të bllokimit.

Mbroni rrugën e kthimit

Përpara se të dilni nga një makinë në distancë, vendosni si do ta arrijë domenin hyrja tjetër. Një tunel përdoruesi që bie bashkë me sesionin mund të heqë rrugën e vetme me të cilën llogaritnit, dhe atëherë as fjalëkalimi i vjetër as ai i ri nuk ju kalon ekranin e bllokimit. Mbani një llogari administrative lokale ose një konsolë jashtë brezit si alternativë. Shkruani hapin e rikuperimit aty ku përdoruesi mund ta arrijë pa u futur.

Për mbështetje, mblidhni katër fakte: ku u ndryshua fjalëkalimi, cila kredenciale funksionon ende jashtë linje, a është i arritshëm një kontrollues domeni përmes tunelit dhe cila metodë hyrjeje përdor laptopi.

Këto katër ndajnë një verifikues të vjetruar nga bllokimi i llogarisë ose një hyrje VPN e refuzuar, të cilat në një tiketë duken njësoj dhe kanë zgjidhje të ndryshme. Një llogari e bllokuar do ta refuzojë fjalëkalimin e ri edhe në internet, prandaj provojeni këtë përpara se të fajësoni memorien.

Mbyllni rrethin me një hyrje në internet

Qëllimi është një hyrje interaktive e mbështetur ndërsa domeni është i arritshëm, e ndjekur nga një gjendje e njohur jashtë linje. Ai ngjarje i vetëm rifreskon verifikuesin dhe i jep fund ciklit të ndryshimit të fjalëkalimit në çdo pajisje.

Verifikoni gjendjen më pas me numrin e hyrjeve të ruajtura dhe një kërkim të kontrolluesit të domenit:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Nëse numri është zero, hyrja e ruajtur është çaktivizuar nga politika dhe sjellja jashtë linje nuk do të ndryshojë, sado herë të rivendoset fjalëkalimi. Ky është një vendim politike që duhet ngritur te pronari, jo një zgjidhje anësore për t'u zbatuar lokalisht.