Kwa nini kompyuta ya mkononi ya Protected Users inahitaji VPN kabla ya kuingia

Kompyuta ya mkononi, akaunti inayofanya kazi na mtandao wa hoteli kwa pamoja huunda mzunguko wa kuingia ambao hakuna jaribio la kurudia huuvunja. Akaunti iko katika Protected Users, jambo ambalo huzuia Windows kuhifadhi kithibitishaji ambacho kingehitajika kuthibitisha mtumiaji nje ya mtandao. Mpango wowote wa aina «ingia kwanza, kisha unganisha handaki baadaye» una mpangilio uliopinduliwa, na ulinzi hufanya kwa usahihi kile unachoahidi. Yafuatayo hudhani akaunti ya kawaida ya Active Directory kwenye mwenyeji wa Windows unaoauniwa.

Ulinzi huondoa nini kwa kweli

Kwa kawaida Windows huhifadhi kithibitishaji kwenye akiba ili akaunti ya kikoa iweze kuingia wakati kidhibiti cha kikoa hakipatikani. Protected Users huzuia hilo kwa akaunti, jambo ambalo huondoa kuingia kwa kikoa nje ya mtandao kama uwezekano badala ya kuifanya isiaminike.

Hili si tatizo la kawaida la akiba iliyopitwa na wakati, na tiba za kawaida hazitumiki. Kuingia mtandaoni mara kwa mara, kubadilisha nenosiri tena au kuongeza idadi ya kuingia zilizohifadhiwa hakutarudisha uwezo huo, kwa sababu hakuna moja ya vitendo hivyo inayounda kithibitishaji ambacho sera inakataa kuhifadhi. Akaunti inafanya kama ilivyoundwa, na muundo hudhani mtandao upo wakati Windows inauliza. Kushughulikia dalili kama hitilafu ya akiba ndiyo njia ambayo timu huishia kujenga upya wasifu ambao haukuwa umevunjika kamwe.

Kwa nini handaki lazima iwepo kabla ya dawati

Kifaa lazima kifikie uthibitishaji wa kikoa wakati ule ambao Windows inauomba, na huo ni kabla ya kikao chochote cha mtumiaji kuwepo. Mteja wa VPN anayeanza tu baada ya dawati kuonekana huacha kuingia mpya kikisubiri njia ambayo haiji kamwe. Utegemezi ni wa mashine, si wa mtumiaji ambaye hajaingia bado.

Tumia mpangilio unaoauniwa wa kabla ya kuingia uliokubaliwa na wamiliki wa vituo vya mwisho na utambulisho. Handaki ya kifaa ya Always On VPN iliyothibitishwa kwa cheti cha kompyuta inafaa wakati kifaa kinachosimamiwa kinakidhi masharti ya awali ya usambazaji huo. Muunganiko unaoauniwa wa skrini ya kuingia kutoka kwa msambazaji ni chaguo lingine. Wasifu wa kawaida wa mtumiaji wenye kichocheo kiotomatiki si kimoja wapo, hata kama unafanana kiasi gani kwenye kiolesura cha mteja.

Njia hiyo inahitaji utatuzi wa majina kwa kikoa, kidhibiti cha kikoa kinachopatikana na itifaki za uthibitishaji ambazo akaunti inaweza kutumia, na hakuna kiashiria «imeunganishwa» kinachotoa chochote kati ya hivyo. Njia na vichujio vyake vinapaswa kubeba huduma za utambulisho na hakuna kingine kisichohitajika, kwa sababu orodha hiyo ya viambishi awali ndiyo uso ambao kompyuta iliyoibiwa hupata kabla ya mtu yeyote kuingia. Maamuzi ya handaki iliyogawanywa yaliyofanywa kwa handaki ya mtumiaji hayahamishiwi kwa handaki ya kifaa, kwa hivyo pitia zote mbili kwa tofauti.

Ufikivu si upatanifu wa uthibitishaji

Handaki inaweza kubeba vifurushi kikamilifu wakati uthibitishaji wa kikoa unashindikana, kwa sababu utaratibu unaojaribiwa ni ule ambao akaunti haiwezi kuutumia. Katika kikoa kinachotekeleza vikwazo vya kikundi, NTLM haipatikani kwa wanachama na Kerberos inahitaji akaunti na usanidi unaoendana na AES. Njia ya vifurushi haiwezi kurekebisha kimoja wapo. Ndiyo sababu ping safi kwa kidhibiti cha kikoa si uthibitisho kwamba kuingia kutafanya kazi.

Mifumo miwili ya vitambulisho inaweza pia kuwa kazini. VPN inaweza kuthibitisha kwa mtoa huduma wa utambulisho wakati Windows inahitaji kwa tofauti kuingia kwa kikoa, na kukubaliwa kwa ile ya kwanza hakuambii chochote kuhusu ile ya pili. «VPN imeunganishwa» na «mtumiaji ameingia» ni uchunguzi tofauti, na kurekebisha mmoja hakumaanishi mwingine.

Soma ushahidi wa uthibitishaji

Kusanya matukio kutoka kwa mteja na kutoka kwa kidhibiti cha kikoa kwa jaribio moja, si upande mmoja tu. Kumbukumbu za Protected Users ziko chini ya Applications and Services Logs\Microsoft\Windows\Authentication, na msimamizi anaweza kuhitaji kuwasha kumbukumbu kabla ya kurekodi chochote. Husisha mihuri ya muda na kumbukumbu ya muunganisho ya handaki yenyewe, kwa sababu hitilafu ya mpangilio huonekana kama hitilafu ya vitambulisho kutoka pande zote mbili.

Amri ya kwanza hapa chini inaorodhesha kila kumbukumbu ya uthibitishaji ambayo kifaa hufichua, kwa hivyo unasoma ile iliyopo na si ile iliyotajwa na chapisho la blogi. Ya pili inasoma maingizo ya hivi karibuni ukishaijua jina. Tafuta kifurushi cha uthibitishaji, akaunti na sharti la kushindwa, kwa sababu njia ya mtandao iliyokosekana na utaratibu uliokataliwa huacha ushahidi tofauti na mmoja tu kati yao ni tatizo la VPN. Ikiwa handaki ilipanda baada ya jaribio, mpangilio ulikuwa mbaya vyovyote vile maingizo hayo yasemavyo.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Thibitisha mpaka kutoka kwa kuwasha baridi

Endesha jaribio kutoka hali ya kutoka au iliyowashwa hivi karibuni ukiwa na akaunti yenye mipaka, na uache njia ya urejeshaji iliyoidhinishwa wazi kabla ya kubadilisha chochote kwa watumiaji wenye mapendeleo. Jaribio kwenye dawati linaloendesha tayari halifanyi mazoezi ya sehemu yoyote ya njia ya msimbo inayojalisha, na hilo hufafanua ripoti nyingi za marekebisho yaliyodumu hadi kuwasha upya kunakofuata. Kisha pitia hatua nne kwa mpangilio huu.

1. Thibitisha kwamba kifaa kinaweza kupata kidhibiti cha kikoa kabla ya mtu yeyote kuingia, kwa nltest /dsgetdc:corp.example.com.
2. Jaribu kuingia kwa kikoa, kisha uliza kama tikiti ilipatikana kabisa, kwa klist.
3. Soma kumbukumbu ya uthibitishaji ambayo kifaa hurekodi, kwa amri mbili zilizo juu, na uandike kifurushi na sharti la kushindwa.
4. Thibitisha kwamba kitambulisho cha urejeshaji kilichoidhinishwa bado kinafanya kazi kutoka skrini ya kuingia, kwa sababu ndiyo njia pekee ya kurudi ikiwa jaribio la mpaka litashindikana.

Kufungua sehemu ya faili kwa vitambulisho vilivyotolewa pia hakuundi kuingia maingiliano nje ya mtandao, kwa hivyo hakuondoi hatua yoyote iliyo juu. Ikiwa shirika linahitaji kwa kweli kuingia bila muunganisho, jibu ni muundo unaoendana wa akaunti na kituo cha mwisho uliochaguliwa kwa makusudi. Kuondoa akaunti kwenye kikundi, au kuweka kuingia moja la dharura lisilo na kikwazo kwenye kila kompyuta ya mkononi, ni uamuzi wa sera ya utambulisho ambao mabadiliko ya VPN hauwezi kuuchukua kwa niaba yako.

Nyaraka za Protected Users zinaeleza tabia ya kithibitishaji na vikwazo vya kikoa ambavyo muundo huu unategemea. Panga mchakato wa urejeshaji kabla ya mtu yeyote kusafiri, kwa sababu jaribio la kuwasha baridi ndilo mahali pekee panapofanyiwa mazoezi.