Pse një laptop me Protected Users ka nevojë për VPN para hyrjes

Një laptop, një llogari funksionale dhe një rrjet hoteli së bashku krijojnë një cikël hyrjeje që asnjë përpjekje e përsëritur nuk e thyen. Llogaria është në Protected Users, çka e pengon Windows të ruajë verifikuesin që do t’i duhej për të vërtetuar përdoruesin jashtë linje. Çdo plan i formës «hyni fillimisht, pastaj lidhni tunelin» e ka rendin e kundërt, dhe mbrojtja bën saktësisht atë që premton. Sa vijon supozon një llogari tradicionale Active Directory në një host Windows të mbështetur.

Çfarë heq në të vërtetë mbrojtja

Zakonisht Windows ruan një verifikues në memorie që një llogari domeni të mund të hyjë ndërsa kontrolluesi i domenit është i paarritshëm. Protected Users e bllokon këtë për llogarinë, çka e heq hyrjen në domen jashtë linje si mundësi, në vend që ta bëjë atë të pabesueshme.

Ky nuk është problemi i zakonshëm i një memorieje të vjetruar, dhe mjetet e zakonshme nuk zbatohen. Hyrja e përsëritur në internet, një ndryshim tjetër fjalëkalimi ose rritja e numrit të hyrjeve të ruajtura nuk do ta rikthejnë aftësinë, sepse asnjë prej këtyre veprimeve nuk e krijon verifikuesin që politika refuzon ta ruajë. Llogaria sillet siç është projektuar, dhe projektimi supozon se rrjeti është i pranishëm kur Windows e kërkon. Trajtimi i simptomës si defekt memorieje është mënyra se si ekipet përfundojnë duke rindërtuar një profil që nuk ishte prishur kurrë.

Pse tuneli duhet të ekzistojë përpara desktopit

Pajisja duhet të arrijë vërtetimin e domenit në momentin kur Windows e kërkon, dhe kjo është përpara se të ekzistojë çdo sesion përdoruesi. Një klient VPN që niset vetëm pasi shfaqet desktopi lë një hyrje të re duke pritur një rrugë që nuk vjen kurrë. Varësia i takon makinës, jo një përdoruesi që nuk është futur ende.

Përdorni një skemë të mbështetur para-hyrjeje të dakorduar me pronarët e pikave fundore dhe të identitetit. Një tunel pajisjeje Always On VPN i vërtetuar me certifikatë kompjuteri kualifikohet kur pajisja e menaxhuar plotëson parakushtet e atij vendosjeje. Integrimi i mbështetur i një ekrani hyrjeje nga një furnizues është një mundësi tjetër. Një profil i zakonshëm përdoruesi me një shkaktues automatik nuk është asnjëra, sado i ngjashëm të duket në ndërfaqen e klientit.

Kjo rrugë ka nevojë për zgjidhje emrash për domenin, një kontrollues domeni të arritshëm dhe protokollet e vërtetimit që llogaria mund të përdorë, dhe asnjë tregues «i lidhur» nuk i ofron këto. Rrugët dhe filtrat e saj duhet të mbajnë shërbimet e identitetit dhe asgjë tjetër që nuk është e nevojshme, sepse ai listë parashtesash është sipërfaqja që merr një laptop i vjedhur përpara se dikush të hyjë. Vendimet për tunel të ndarë të marra për tunelin e përdoruesit nuk kalojnë te tuneli i pajisjes, prandaj shqyrtojini të dy veçmas.

Arritshmëria nuk është përputhshmëri vërtetimi

Një tunel mund t’i mbajë paketat në mënyrë të përsosur ndërsa vërtetimi i domenit dështon, sepse mekanizmi që po provohet është një që llogaria nuk mund ta përdorë. Në një domen që zbaton kufizimet e grupit, NTLM nuk është i disponueshëm për anëtarët dhe Kerberos kërkon një llogari dhe konfigurim të përputhshëm me AES. Një rrugë paketash nuk mund të rregullojë asnjërën. Prandaj një ping i pastër drejt kontrolluesit të domenit nuk është provë se hyrja do të funksionojë.

Mund të jenë në lojë edhe dy sisteme kredencialesh. VPN-ja mund të vërtetohet ndaj një ofruesi identiteti ndërsa Windows ka nevojë veçmas për një hyrje në domen, dhe pranimi nga i pari nuk thotë asgjë për të dytin. «VPN-ja u lidh» dhe «përdoruesi u fut» janë vëzhgime të veçanta, dhe rregullimi i njërës nuk nënkupton tjetrën.

Lexoni provat e vërtetimit

Mblidhni ngjarje nga klienti dhe nga një kontrollues domeni për të njëjtin përpjekje, jo vetëm nga njëra anë. Regjistrat e Protected Users ndodhen nën Applications and Services Logs\Microsoft\Windows\Authentication, dhe një administrator mund të duhet të aktivizojë një regjistër përpara se ai të regjistrojë diçka. Lidhni vulat kohore me regjistrin e lidhjes të vetë tunelit, sepse një gabim rendi duket si defekt kredencialesh nga të dyja anët.

Komanda e parë më poshtë liston çdo regjistër vërtetimi që pajisja ekspozon, kështu që lexoni atë që ekziston dhe jo atë që emëroi një postim blogu. E dyta lexon hyrjet e fundit pasi ta dini emrin. Kërkoni paketën e vërtetimit, llogarinë dhe kushtin e dështimit, sepse një rrugë rrjeti që mungon dhe një mekanizëm i refuzuar lënë prova të ndryshme dhe vetëm njëra prej tyre është problem VPN. Nëse tuneli u ngrit pas përpjekjes, rendi ishte i gabuar çfarëdo që thonë ato hyrje.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Provoni kufirin nga një nisje e ftohtë

Ekzekutoni testin nga një gjendje e dalë ose e sapondezur me një llogari të kufizuar, dhe mbani hapur një rrugë rikuperimi të miratuar përpara se të ndryshoni diçka për përdoruesit e privilegjuar. Një test në një desktop që tashmë punon nuk ushtron asnjë pjesë të rrugës së kodit që ka rëndësi, dhe kjo shpjegon shumicën e raporteve për një rregullim që qëndroi deri në rinisjen tjetër. Më pas kaloni nëpër katër hapat në këtë rend.

1. Konfirmoni se pajisja mund të gjejë një kontrollues domeni përpara se dikush të hyjë, me nltest /dsgetdc:corp.example.com.
2. Provoni hyrjen në domen, pastaj pyetni nëse u mor ndonjë biletë fare, me klist.
3. Lexoni regjistrin e vërtetimit që regjistron pajisja, me dy komandat më sipër, dhe shënoni paketën dhe kushtin e dështimit.
4. Konfirmoni se kredenciali i rikuperimit i miratuar vazhdon të funksionojë nga ekrani i hyrjes, sepse është e vetmja rrugë kthimi nëse testi i kufirit dështon.

Hapja e një ndarjeje skedarësh me kredenciale të dhëna gjithashtu nuk krijon një hyrje interaktive jashtë linje, prandaj nuk zëvendëson asnjë hap më sipër. Nëse organizata ka vërtet nevojë për hyrje pa lidhje, përgjigjja është një projektim i përputhshëm i llogarisë dhe pikës fundore i zgjedhur me qëllim. Heqja e llogarisë nga grupi, ose mbajtja e një hyrjeje emergjente pa kufizime në çdo laptop, është një vendim i politikës së identitetit që një ndryshim VPN nuk mund ta marrë për ju.

Dokumentacioni i Protected Users përshkruan si sjelljen e verifikuesit ashtu edhe kufizimet e domenit nga të cilat varet ky projektim. Planifikoni procesin e rikuperimit përpara se dikush të udhëtojë, sepse testi i nisjes së ftohtë është i vetmi vend ku ai ushtrohet.