Protected Users மடிக்கணினிக்கு உள்நுழைவுக்கு முன் VPN ஏன் தேவை

மடிக்கணினி, இயங்கும் கணக்கு மற்றும் ஹோட்டல் வலையமைப்பு ஆகியவை சேர்ந்து, எத்தனை மறுமுயற்சியிலும் உடையாத உள்நுழைவு சுழற்சியை உருவாக்குகின்றன. கணக்கு Protected Users இல் உள்ளது, இது பயனரை இணையமில்லாமல் அங்கீகரிக்கத் தேவையான சரிபார்ப்பியை Windows சேமிப்பதைத் தடுக்கிறது. «முதலில் உள்நுழைக, பின்னர் சுரங்கப்பாதையை இணை» எனும் எந்தத் திட்டத்திலும் வரிசை தலைகீழாக உள்ளது, பாதுகாப்பு தான் வாக்குறுதி அளித்ததைச் சரியாகச் செய்கிறது. பின்வருவது ஆதரவு பெற்ற Windows புரவலனில் பாரம்பரிய Active Directory கணக்கைக் கருதுகிறது.

பாதுகாப்பு உண்மையில் எதை நீக்குகிறது

வழக்கமாக Windows ஒரு சரிபார்ப்பியைத் தேக்ககத்தில் வைத்திருக்கும், அதனால் டொமைன் கட்டுப்படுத்தியை அணுக முடியாதபோதும் டொமைன் கணக்கு உள்நுழைய முடியும். Protected Users அதைக் கணக்கிற்குத் தடுக்கிறது, இது இணையமில்லா டொமைன் உள்நுழைவை நம்பமுடியாததாக்குவதற்குப் பதிலாக சாத்தியக்கூறாகவே நீக்குகிறது.

இது பழைய தேக்ககத்தின் வழக்கமான பிரச்சினை அல்ல, வழக்கமான தீர்வுகள் இங்கு பொருந்தாது. மீண்டும் மீண்டும் இணையத்தில் உள்நுழைவது, மற்றொரு முறை கடவுச்சொல்லை மாற்றுவது அல்லது தேக்ககப்படுத்தப்பட்ட உள்நுழைவுகளின் எண்ணிக்கையை உயர்த்துவது திறனை மீட்டெடுக்காது, ஏனெனில் அந்தச் செயல்களில் எதுவும் கொள்கை சேமிக்க மறுக்கும் சரிபார்ப்பியை உருவாக்குவதில்லை. கணக்கு வடிவமைக்கப்பட்டபடியே செயல்படுகிறது, வடிவமைப்பு Windows கேட்கும் நேரத்தில் வலையமைப்பு இருக்கும் என்று கருதுகிறது. அறிகுறியை தேக்ககக் குறைபாடாகக் கருதுவதுதான், குழுக்கள் ஒருபோதும் உடையாத சுயவிவரத்தை மீண்டும் கட்டியெழுப்பும் வழி.

சுரங்கப்பாதை டெஸ்க்டாப்புக்கு முன் ஏன் இருக்க வேண்டும்

Windows கேட்கும் அந்தக் கணத்திலேயே, அதாவது எந்தப் பயனர் அமர்வும் உருவாகும் முன்பே, சாதனம் டொமைன் அங்கீகாரத்தை அடைய வேண்டும். டெஸ்க்டாப் தோன்றிய பிறகு மட்டுமே தொடங்கும் VPN வாடிக்கையாளர், ஒருபோதும் வராத பாதைக்காக புதிய உள்நுழைவைக் காத்திருக்க வைக்கிறது. சார்பு இயந்திரத்திற்குரியது, இன்னும் உள்நுழையாத பயனருக்குரியது அல்ல.

முனைப்புள்ளிகள் மற்றும் அடையாள உரிமையாளர்களுடன் ஒப்புக்கொள்ளப்பட்ட ஆதரவு பெற்ற முன்-உள்நுழைவு ஏற்பாட்டைப் பயன்படுத்தவும். கணினி சான்றிதழால் அங்கீகரிக்கப்பட்ட Always On VPN சாதனச் சுரங்கப்பாதை, நிர்வகிக்கப்பட்ட சாதனம் அந்தப் பயன்பாட்டின் முன்நிபந்தனைகளைப் பூர்த்தி செய்யும்போது தகுதி பெறுகிறது. விற்பனையாளரின் ஆதரவு பெற்ற உள்நுழைவுத் திரை ஒருங்கிணைப்பு மற்றொரு வழி. தானியங்கி தூண்டலுடன் கூடிய சாதாரண பயனர் சுயவிவரம் இரண்டுமே அல்ல, வாடிக்கையாளர் இடைமுகத்தில் எவ்வளவு ஒத்ததாகத் தோன்றினாலும்.

அந்தப் பாதைக்கு டொமைனுக்கான பெயர்த் தீர்வு, அணுகக்கூடிய டொமைன் கட்டுப்படுத்தி மற்றும் கணக்கு பயன்படுத்தக்கூடிய அங்கீகார நெறிமுறைகள் தேவை, «இணைக்கப்பட்டது» எனும் குறிகாட்டி இவற்றில் எதையும் தருவதில்லை. அதன் வழித்தடங்களும் வடிகட்டிகளும் அடையாளச் சேவைகளை மட்டுமே எடுத்துச் செல்ல வேண்டும், தேவையற்ற வேறு எதையும் அல்ல, ஏனெனில் அந்த முன்னொட்டுப் பட்டியல்தான் யாரும் உள்நுழைவதற்கு முன் திருடப்பட்ட மடிக்கணினி பெறும் மேற்பரப்பு. பயனர் சுரங்கப்பாதைக்கு எடுக்கப்பட்ட பிளவு சுரங்கப்பாதை முடிவுகள் சாதனச் சுரங்கப்பாதைக்குப் பொருந்தாது, எனவே இரண்டையும் தனித்தனியாக மதிப்பாய்வு செய்யவும்.

அணுகல் என்பது அங்கீகார இணக்கத்தன்மை அல்ல

சுரங்கப்பாதை தொகுப்புகளைச் சரியாகக் கொண்டு செல்லக்கூடும், ஆனால் டொமைன் அங்கீகாரம் தோல்வியடையலாம், ஏனெனில் முயற்சிக்கப்படும் பொறிமுறை கணக்கு பயன்படுத்த முடியாத ஒன்று. குழுவின் கட்டுப்பாடுகளை அமல்படுத்தும் டொமைனில், உறுப்பினர்களுக்கு NTLM கிடைக்காது, Kerberos-க்கு AES-இணக்கமான கணக்கும் அமைப்பும் தேவை. தொகுப்புப் பாதை இவற்றில் எதையும் சரிசெய்ய முடியாது. அதனால்தான் டொமைன் கட்டுப்படுத்திக்கு ஒரு தெளிவான ping, உள்நுழைவு வேலை செய்யும் என்பதற்கான சான்று அல்ல.

இரண்டு அடையாளச் சான்று அமைப்புகளும் இயங்கலாம். VPN ஒரு அடையாள வழங்குநரிடம் அங்கீகரிக்கலாம், அதே நேரம் Windows தனியாக டொமைன் உள்நுழைவைக் கோருகிறது, மேலும் முதலின் ஏற்பு இரண்டைப் பற்றி எதுவும் கூறாது. «VPN இணைந்தது» மற்றும் «பயனர் உள்நுழைந்தார்» தனித்தனி அவதானிப்புகள், ஒன்றைச் சரிசெய்வது மற்றொன்றைக் குறிக்காது.

அங்கீகாரச் சான்றுகளைப் படியுங்கள்

ஒரே முயற்சிக்காக வாடிக்கையாளரிடமிருந்தும் டொமைன் கட்டுப்படுத்தியிடமிருந்தும் நிகழ்வுகளைச் சேகரியுங்கள், ஒரு பக்கத்திலிருந்து மட்டும் அல்ல. Protected Users பதிவுகள் Applications and Services Logs\Microsoft\Windows\Authentication கீழ் உள்ளன, எதையும் பதிவு செய்வதற்கு முன் நிர்வாகி ஒரு பதிவை இயக்க வேண்டியிருக்கலாம். நேர முத்திரைகளைச் சுரங்கப்பாதையின் சொந்த இணைப்புப் பதிவுடன் தொடர்புபடுத்துங்கள், ஏனெனில் வரிசைப் பிழை இரு பக்கங்களிலிருந்தும் அடையாளச் சான்று குறைபாடாகத் தோன்றும்.

கீழே உள்ள முதல் கட்டளை, சாதனம் வெளிப்படுத்தும் ஒவ்வொரு அங்கீகாரப் பதிவையும் பட்டியலிடுகிறது, எனவே வலைப்பதிவு குறிப்பிட்டதை அல்ல, இருக்கும் ஒன்றைப் படிக்கிறீர்கள். இரண்டாவது, பெயரை அறிந்த பிறகு சமீபத்திய உள்ளீடுகளைப் படிக்கிறது. அங்கீகாரத் தொகுப்பு, கணக்கு மற்றும் தோல்வி நிபந்தனையைப் பாருங்கள், ஏனெனில் இல்லாத வலையமைப்புப் பாதையும் நிராகரிக்கப்பட்ட பொறிமுறையும் வெவ்வேறு சான்றுகளை விட்டுச் செல்கின்றன, அவற்றில் ஒன்று மட்டுமே VPN பிரச்சினை. முயற்சிக்குப் பிறகு சுரங்கப்பாதை மேலெழுந்தால், அந்த உள்ளீடுகள் என்ன சொன்னாலும் வரிசை தவறானது.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

குளிர் துவக்கத்திலிருந்து எல்லையை நிரூபிக்கவும்

வெளியேறிய அல்லது புதிதாக துவக்கிய நிலையிலிருந்து வரம்புக்குட்பட்ட கணக்குடன் சோதனையை இயக்கவும், சிறப்புரிமை பெற்ற பயனர்களுக்கு எதையும் மாற்றுவதற்கு முன் அங்கீகரிக்கப்பட்ட மீட்புப் பாதையைத் திறந்து வைக்கவும். ஏற்கனவே இயங்கும் டெஸ்க்டாப்பில் செய்யும் சோதனை, முக்கியமான குறியீட்டுப் பாதையின் எந்தப் பகுதியையும் பயிற்சி செய்யாது, அடுத்த மறுதுவக்கம்வரை நிலைத்த ஒரு சரிசெய்தல் பற்றிய பெரும்பாலான அறிக்கைகளை இது விளக்குகிறது. பின்னர் நான்கு படிகளையும் இந்த வரிசையில் முடிக்கவும்.

1. யாரும் உள்நுழைவதற்கு முன் சாதனம் டொமைன் கட்டுப்படுத்தியைக் கண்டறிய முடியுமா என்பதை nltest /dsgetdc:corp.example.com மூலம் உறுதிப்படுத்தவும்.
2. டொமைன் உள்நுழைவை முயற்சிக்கவும், பின்னர் டிக்கெட் ஏதேனும் கிடைத்ததா என klist மூலம் கேட்கவும்.
3. சாதனம் பதிவு செய்யும் அங்கீகாரப் பதிவை மேலே உள்ள இரண்டு கட்டளைகளால் படித்து, தொகுப்பையும் தோல்வி நிபந்தனையையும் குறிக்கவும்.
4. அங்கீகரிக்கப்பட்ட மீட்பு அடையாளச் சான்று இன்னும் உள்நுழைவுத் திரையிலிருந்து வேலை செய்கிறது என்பதை உறுதிப்படுத்தவும், ஏனெனில் எல்லைச் சோதனை தோல்வியடைந்தால் திரும்புவதற்கான ஒரே வழி அதுவே.

வழங்கப்பட்ட அடையாளச் சான்றுகளுடன் கோப்புப் பங்கீட்டைத் திறப்பதும் இணையமில்லா ஊடாடும் உள்நுழைவை உருவாக்காது, எனவே இது மேலே உள்ள எந்தப் படிக்கும் மாற்றாகாது. நிறுவனத்திற்கு உண்மையிலேயே இணைப்பில்லா உள்நுழைவு தேவைப்பட்டால், பதில் வேண்டுமென்றே தேர்ந்தெடுக்கப்பட்ட இணக்கமான கணக்கு மற்றும் முனைப்புள்ளி வடிவமைப்பே. கணக்கைக் குழுவிலிருந்து வெளியேற்றுவது, அல்லது ஒவ்வொரு மடிக்கணினியிலும் ஒரு கட்டுப்பாடற்ற அவசர உள்நுழைவை வைத்திருப்பது, VPN மாற்றம் உங்களுக்காக எடுக்க முடியாத அடையாளக் கொள்கை முடிவு.

Protected Users ஆவணம் சரிபார்ப்பியின் நடத்தையையும், இந்த வடிவமைப்பு சார்ந்திருக்கும் டொமைன் கட்டுப்பாடுகளையும் விவரிக்கிறது. யாரும் பயணம் செய்வதற்கு முன் மீட்பு செயல்முறையைத் திட்டமிடுங்கள், ஏனெனில் குளிர்-துவக்கச் சோதனையே அது பயிற்சி செய்யப்படும் ஒரே இடம்.