Зашто доменски лаптоп прихвата стару лозинку без мреже

Промена лозинке стиже свуда истовремено, осим на том једном лаптопу који је недељу дана био ван мреже. Веб-пошта прихвата нову лозинку, стони рачунар у канцеларији је такође прихвата, а удаљена машина се и даље пријављује старом када је VPN искључен. То није друга лозинка и није грешка у синхронизацији директоријума. То је кеширани верификатор пријаве који ради оно за шта је направљен, а решење је низ корака, не ресетовање.

Лаптоп проверава кеширани верификатор

Windows придружен домену чува локални верификатор за недавне успешне интерактивне пријаве, како би машина могла да се подигне када ниједан контролер домена не одговара. Тај верификатор се изводи из лозинке каква је била при тој пријави. Промена лозинке негде другде ажурира директоријум, али не и копију на лаптопу који од тада није разговарао с њим.

Зато стара лозинка још може да отвори локалну сесију иако је неважећа за сваку нову проверу идентитета у домену. То су два различита запажања, а њихово мешање доводи до поновљених ресетовања.

Пре него што промените било шта друго, потврдите који се акредитив заиста користи. PIN за Windows Hello, пријава преко Entra ID-а и традиционална доменска лозинка су одвојени механизми, а PIN посебно није доменска лозинка чак и када откључава исти радни сто.

Мрежна провера идентитета није интерактивна пријава

Отварање мрежног дељења новом лозинком доказује да мрежни пут ради. Али оно не освежава кеш интерактивне пријаве, јер Windows мрежну и интерактивну проверу идентитета третира као одвојене операције са одвојеним стањем.

Верификатор се освежава само када интерактивна пријава стварно контактира контролер домена; мапирани диск или Outlook упит то не чине.

Та разлика објашњава уобичајену пријаву: корисник може да чита пошту и отвори интранет, али закључани екран још тражи стару лозинку. Објашњава и зашто VPN покренут после пријаве не може да помогне почетној пријави, јер тунел долази након што је одлука већ донета локално.

Остварите једну онлајн пријаву у правом тренутку

Кеш се освежава када се корисник пријави интерактивно док је домен доступан. За удаљену машину то значи да тунел мора да постоји пре него што се акредитив процени, а не након што се појави радна површина.

Проверите да ли имплементација подржава повезивање пре пријаве или тунел уређаја. Они су направљени за тај тренутак, а кориснички тунел их не замењује:

nltest /dsgetdc:corp.example
klist

Ако крајња тачка нема пут пре пријаве, употребите подржани процес опоравка који организација документује. Нека окружења користе низ повезивање, закључавање и откључавање са тунелом држаним отвореним на закључаном екрану; друга шаљу уређај на управљани корак опоравка. Пратите онај који одговара клијенту и, пре него што се поуздате у њега, потврдите да тунел преживљава закључани екран.

Заштитите пут назад

Пре одјаве са удаљене машине одлучите како ће следећа пријава доћи до домена. Кориснички тунел који падне са сесијом може да уклони једини пут на који сте рачунали, а тада вас ни стара ни нова лозинка не проводе кроз закључани екран. Држите локални администраторски налог или ванпојасну конзолу као резерву. Запишите корак опоравка тамо где корисник може да дође до њега без пријаве.

За подршку прикупите четири чињенице: где је лозинка промењена, који акредитив још ради без мреже, да ли је контролер домена доступан кроз тунел и коју методу пријаве лаптоп користи.

Та четири одвајају застарели верификатор од закључавања налога или одбијене VPN пријаве, који у тикету изгледају слично, а имају различита решења. Закључан налог ће одбити нову лозинку и онлајн, па то проверите пре него што оптужите кеш.

Затворите круг једном онлајн пријавом

Циљ је једна подржана интерактивна пријава док је домен доступан, након чега следи познато стање без мреже. Тај једини догађај освежава верификатор и прекида циклус мењања лозинке на сваком уређају.

Стање затим проверите бројем кешираних пријава и претрагом контролера домена:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ако је број нула, кеширана пријава је онемогућена правилником и понашање без мреже се неће променити, колико год пута лозинка била ресетована. То је одлука о правилнику коју треба покренути код власника, а не заобилазно решење за локалну примену.