Protected Users'lı bir dizüstü neden oturum açmadan önce VPN'e ihtiyaç duyar

Bir dizüstü, çalışan bir hesap ve bir otel ağı bir araya geldiğinde, hiçbir yeniden deneme sayısının kıramadığı bir oturum açma döngüsü oluşur. Hesap Protected Users içindedir; bu, Windows'un kullanıcıyı çevrimdışı doğrulamak için ihtiyaç duyacağı doğrulayıcıyı saklamasını engeller. «Önce oturum açın, sonra tüneli bağlayın» biçimindeki her plan ters sıradadır ve koruma tam olarak vadettiğini yapar. Aşağıdakiler, desteklenen bir Windows ana bilgisayarında geleneksel bir Active Directory hesabı varsayar.

Koruma gerçekte neyi kaldırır

Windows normalde bir doğrulayıcıyı önbelleğe alır; böylece etki alanı denetleyicisine ulaşılamadığında da etki alanı hesabı oturum açabilir. Protected Users bunu hesap için engeller; bu, çevrimdışı etki alanı oturum açmayı güvenilmez kılmak yerine bir olasılık olarak ortadan kaldırır.

Bu, eski önbelleğin olağan sorunu değildir ve olağan çözümler burada geçerli değildir. Tekrar tekrar çevrimiçi oturum açmak, parolayı bir kez daha değiştirmek veya önbelleğe alınmış oturum açma sayısını artırmak yeteneği geri getirmez, çünkü bu eylemlerin hiçbiri ilkenin saklamayı reddettiği doğrulayıcıyı oluşturmaz. Hesap tasarlandığı gibi davranıyor ve tasarım, Windows sorduğunda ağın orada olduğunu varsayıyor. Belirtiyi önbellek arızası olarak ele almak, ekiplerin hiç bozulmamış bir profili yeniden oluşturmasına yol açan yoldur.

Tünel neden masaüstünden önce var olmalı

Aygıt, etki alanı kimlik doğrulamasına Windows'un istediği anda, yani herhangi bir kullanıcı oturumu ortaya çıkmadan önce ulaşmalıdır. Yalnızca masaüstü göründükten sonra başlayan bir VPN istemcisi, yeni bir oturum açmayı hiç gelmeyen bir yolu beklemeye bırakır. Bağımlılık makineye aittir, henüz oturum açmamış bir kullanıcıya değil.

Uç nokta ve kimlik sahipleriyle kararlaştırılmış desteklenen bir oturum öncesi düzen kullanın. Bilgisayar sertifikasıyla kimliği doğrulanan bir Always On VPN aygıt tüneli, yönetilen aygıt o dağıtımın ön koşullarını karşıladığında uygundur. Bir satıcının desteklenen oturum açma ekranı entegrasyonu başka bir seçenektir. Otomatik tetikleyicisi olan sıradan bir kullanıcı profili ikisi de değildir, istemci arayüzünde ne kadar benzer görünse de.

Bu yolun etki alanı için ad çözümlemesine, erişilebilir bir etki alanı denetleyicisine ve hesabın kullanabileceği kimlik doğrulama protokollerine ihtiyacı vardır ve hiçbir «bağlı» göstergesi bunları sağlamaz. Yolları ve filtreleri kimlik hizmetlerini taşımalı ve gerekmeyen başka bir şey taşımamalıdır, çünkü o önek listesi, çalınmış bir dizüstünün kimse oturum açmadan önce elde ettiği yüzeydir. Kullanıcı tüneli için alınan bölünmüş tünel kararları aygıt tüneli için geçerli değildir, bu yüzden ikisini ayrı ayrı inceleyin.

Erişilebilirlik, kimlik doğrulama uyumluluğu değildir

Bir tünel paketleri kusursuz taşıyabilirken etki alanı kimlik doğrulaması başarısız olabilir, çünkü denenen mekanizma hesabın kullanamayacağı bir mekanizmadır. Grubun kısıtlamalarını uygulayan bir etki alanında üyelere NTLM sunulmaz ve Kerberos AES uyumlu bir hesap ve yapılandırma gerektirir. Bir paket yolu ikisini de onaramaz. Bu yüzden etki alanı denetleyicisine temiz bir ping, oturum açmanın çalışacağının kanıtı değildir.

İki kimlik bilgisi sistemi de devrede olabilir. VPN bir kimlik sağlayıcısına karşı kimlik doğrulaması yapabilirken Windows ayrıca bir etki alanı oturum açmasına ihtiyaç duyar ve birincinin kabulü ikincisi hakkında hiçbir şey söylemez. «VPN bağlandı» ve «kullanıcı oturum açtı» ayrı gözlemlerdir ve birini düzeltmek diğerini gerektirmez.

Kimlik doğrulama kanıtlarını okuyun

Aynı deneme için olayları yalnızca bir taraftan değil, hem istemciden hem de bir etki alanı denetleyicisinden toplayın. Protected Users günlükleri Applications and Services Logs\Microsoft\Windows\Authentication altındadır ve bir yöneticinin bir günlüğü bir şey kaydetmeden önce açması gerekebilir. Zaman damgalarını tünelin kendi bağlantı günlüğüyle ilişkilendirin, çünkü sıra hatası iki taraftan da kimlik bilgisi arızası gibi görünür.

Aşağıdaki ilk komut, aygıtın sunduğu her kimlik doğrulama günlüğünü listeler, böylece bir blog yazısının adlandırdığını değil var olanı okursunuz. İkincisi, adı bildikten sonra son kayıtları okur. Kimlik doğrulama paketini, hesabı ve hata koşulunu arayın, çünkü eksik bir ağ yolu ile reddedilen bir mekanizma farklı kanıtlar bırakır ve yalnızca biri VPN sorunudur. Tünel denemeden sonra ayaktaysa, o kayıtlar ne derse desin sıra yanlıştı.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Sınırı soğuk açılıştan kanıtlayın

Testi oturum kapatılmış veya yeni açılmış durumdan sınırlı bir hesapla çalıştırın ve ayrıcalıklı kullanıcılar için herhangi bir şeyi değiştirmeden önce onaylanmış bir kurtarma yolunu açık tutun. Zaten çalışan bir masaüstünde yapılan test, önemli kod yolunun hiçbir bölümünü çalıştırmaz ve bir sonraki yeniden başlatmaya kadar dayanan bir düzeltme hakkındaki raporların çoğunu bu açıklar. Ardından dört adımı bu sırayla tamamlayın.

1. Aygıtın herhangi biri oturum açmadan önce bir etki alanı denetleyicisi bulabildiğini nltest /dsgetdc:corp.example.com ile doğrulayın.
2. Etki alanı oturum açmasını deneyin, ardından klist ile bir bilet alınıp alınmadığını sorun.
3. Aygıtın kaydettiği kimlik doğrulama günlüğünü yukarıdaki iki komutla okuyun ve paketi ve hata koşulunu not edin.
4. Onaylanmış kurtarma kimlik bilgisinin oturum açma ekranından hâlâ çalıştığını doğrulayın, çünkü sınır testi başarısız olursa geri dönmenin tek yolu budur.

Verilen kimlik bilgileriyle bir dosya paylaşımı açmak da çevrimdışı etkileşimli oturum açma oluşturmaz, bu yüzden yukarıdaki adımlardan hiçbirinin yerini tutmaz. Kuruluş gerçekten bağlantısız oturum açmaya ihtiyaç duyuyorsa yanıt, bilinçli olarak seçilmiş uyumlu bir hesap ve uç nokta tasarımıdır. Hesabı gruptan çıkarmak veya her dizüstünde bir sınırsız acil oturum açma tutmak, bir VPN değişikliğinin sizin adınıza veremeyeceği bir kimlik politikası kararıdır.

Protected Users belgeleri hem doğrulayıcının davranışını hem de bu tasarımın bağlı olduğu etki alanı kısıtlamalarını açıklar. Kimse yola çıkmadan önce kurtarma sürecini planlayın, çünkü soğuk açılış testi bunun uygulandığı tek yerdir.