Varför en Protected Users-bärbar dator behöver VPN före inloggning

En bärbar dator, ett fungerande konto och ett hotellnätverk bildar tillsammans en inloggningsslinga som ingen mängd nya försök bryter. Kontot ligger i Protected Users, vilket hindrar Windows från att lagra den verifierare som det skulle behöva för att autentisera användaren offline. Varje plan av formen »logga in först, anslut tunneln efteråt« har omvänd ordning, och skyddet gör precis det det lovar. Det följande förutsätter ett traditionellt Active Directory-konto på en Windows-värd som stöds.

Vad skyddet faktiskt tar bort

Windows cachar normalt en verifierare så att ett domänkonto kan logga in medan en domänkontrollant är oåtkomlig. Protected Users blockerar detta för kontot, vilket tar bort offline-domäninloggning som möjlighet i stället för att göra den opålitlig.

Detta är inte det vanliga problemet med en inaktuell cache, och de vanliga åtgärderna gäller inte. Upprepad inloggning online, ännu ett lösenordsbyte eller en höjd gräns för cachade inloggningar återställer inte förmågan, eftersom ingen av dessa åtgärder skapar den verifierare som principen vägrar lagra. Kontot beter sig som det är designat, och designen förutsätter att nätverket finns när Windows frågar. Att behandla symtomet som ett cachefel är hur team till slut bygger om en profil som aldrig var trasig.

Varför tunneln måste finnas före skrivbordet

Enheten måste nå domänautentisering i det ögonblick Windows begär det, och det är innan någon användarsession finns. En VPN-klient som bara startar efter att skrivbordet visas lämnar en ny inloggning att vänta på en väg som aldrig kommer. Beroendet hör till maskinen, inte till en användare som ännu inte har loggat in.

Använd en stödd ordning för inloggning i förväg, avtalad med ägarna av slutpunkter och identitet. En Always On VPN-enhetstunnel autentiserad med ett datorcertifikat kvalificerar när den hanterade enheten uppfyller förutsättningarna för den driftsättningen. En leverantörs stödda integrering på inloggningsskärmen är ett annat alternativ. En vanlig användarprofil med en automatisk utlösare är inget av dem, hur likt det än ser ut i klientgränssnittet.

Den vägen behöver namnmatchning för domänen, en nåbar domänkontrollant och de autentiseringsprotokoll som kontot får använda, och ingen indikator för »ansluten« ger något av detta. Dess rutter och filter bör bära identitetstjänsterna och inget annat som inte behövs, eftersom den prefixlistan är den yta som en stulen bärbar dator får innan någon loggar in. Beslut om delad tunnel som fattats för användartunneln gäller inte för enhetstunneln, så granska de två var för sig.

Nåbarhet är inte autentiseringskompatibilitet

En tunnel kan transportera paket perfekt medan domänautentiseringen misslyckas, eftersom mekanismen som försöks är en som kontot inte får använda. I en domän som upprätthåller gruppens begränsningar är NTLM inte tillgängligt för medlemmar, och Kerberos kräver ett AES-kompatibelt konto och en sådan konfiguration. En paketväg kan inte reparera någon av dem. Därför är en ren ping till en domänkontrollant inget bevis för att inloggningen kommer att fungera.

Det kan också vara två legitimationssystem i spel. VPN kan autentisera mot en identitetsleverantör medan Windows separat behöver en domäninloggning, och den förstas godkännande säger ingenting om den andra. »VPN:en är ansluten« och »användaren är inloggad« är separata observationer, och att rätta den ena innebär inte den andra.

Läs autentiseringsbevisen

Samla händelser från klienten och från en domänkontrollant för samma försök, inte bara från ena sidan. Protected Users-loggarna ligger under Applications and Services Logs\Microsoft\Windows\Authentication, och en administratör kan behöva slå på en logg innan den registrerar något. Korrelera tidsstämplarna med tunnelns egen anslutningslogg, eftersom ett ordningsfel ser ut som ett legitimationsfel från båda hållen.

Det första kommandot nedan listar varje autentiseringslogg som enheten exponerar, så du läser den som finns i stället för den som ett blogginlägg namngav. Det andra läser de senaste posterna när du känner till namnet. Leta efter autentiseringspaketet, kontot och felvillkoret, eftersom en saknad nätverksväg och en avvisad mekanism lämnar olika bevis och bara en av dem är ett VPN-problem. Om tunneln kom upp efter försöket var ordningen fel, vad posterna än säger.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Bevisa gränsen från en kallstart

Kör testet från ett utloggat eller nystartat tillstånd med ett begränsat konto, och håll en godkänd återställningsväg öppen innan du ändrar något för privilegierade användare. Ett test på ett skrivbord som redan körs övar ingen del av den kodväg som betyder något, och det förklarar de flesta rapporterna om en rättelse som höll till nästa omstart. Arbeta dig sedan igenom de fyra stegen i den här ordningen.

1. Bekräfta att enheten kan hitta en domänkontrollant innan någon loggar in, med nltest /dsgetdc:corp.example.com.
2. Försök med domäninloggningen och fråga sedan om en biljett över huvud taget erhölls, med klist.
3. Läs autentiseringsloggen som enheten registrerar, med de två kommandona ovan, och notera paketet och felvillkoret.
4. Bekräfta att den godkända återställningsuppgiften fortfarande fungerar från inloggningsskärmen, eftersom det är den enda vägen tillbaka om gränstestet misslyckas.

Att öppna en filresurs med medföljande autentiseringsuppgifter skapar inte heller någon offline-interaktiv inloggning, så det ersätter inte något steg ovan. Om organisationen verkligen behöver inloggning utan anslutning är svaret en kompatibel utformning av konto och slutpunkt som valts medvetet. Att ta kontot ur gruppen, eller att behålla en obegränsad nödinloggning på varje bärbar dator, är ett identitetspolitiskt beslut som en VPN-ändring inte kan fatta åt er.

Dokumentationen för Protected Users beskriver både verifierarens beteende och de domänbegränsningar som denna design är beroende av. Planera återställningsprocessen innan någon reser, eftersom kallstartstestet är den enda plats där den övas.