ڈومین لیپ ٹاپ آف لائن پرانا پاس ورڈ کیوں قبول کرتا ہے

پاس ورڈ کی تبدیلی ایک ہی وقت میں ہر جگہ پہنچتی ہے، سوائے اس ایک لیپ ٹاپ کے جو ایک ہفتے سے آف لائن تھا۔ ویب میل نیا پاس ورڈ قبول کرتا ہے، دفتر کا ڈیسک ٹاپ بھی اسے قبول کرتا ہے، اور VPN بند ہونے پر دور کی مشین اب بھی پرانے پاس ورڈ سے سائن اِن کرتی ہے۔ یہ دوسرا پاس ورڈ نہیں اور نہ ڈائریکٹری میں سنک کی خرابی ہے۔ یہ کیش شدہ لاگ اون تصدیق کنندہ اپنا مقررہ کام کر رہا ہے، اور حل دوبارہ ترتیب دینا نہیں بلکہ مرحلوں کا تسلسل ہے۔

لیپ ٹاپ کیش شدہ تصدیق کنندہ کی جانچ کر رہا ہے

ڈومین سے منسلک Windows حالیہ کامیاب انٹرایکٹو لاگ اونز کے لیے مقامی تصدیق کنندہ رکھتا ہے، تاکہ جب کوئی ڈومین کنٹرولر جواب نہ دے تو مشین بوٹ ہو سکے۔ وہ تصدیق کنندہ اُس لاگ اون کے وقت کے پاس ورڈ سے اخذ ہوتا ہے۔ کہیں اور پاس ورڈ بدلنے سے ڈائریکٹری اپ ڈیٹ ہوتی ہے، اُس لیپ ٹاپ کی نقل نہیں جو اُس وقت سے اُس سے بات نہیں کر رہا۔

اس لیے پرانا پاس ورڈ اب بھی مقامی سیشن کھول سکتا ہے، حالانکہ کسی بھی نئی ڈومین تصدیق کے لیے وہ ناجائز ہے۔ یہ دو مختلف مشاہدے ہیں، اور انہیں ملانا بار بار دوبارہ ترتیب دینے کا سبب بنتا ہے۔

کوئی اور چیز بدلنے سے پہلے تصدیق کریں کہ اصل میں کون سی اسناد استعمال ہو رہی ہیں۔ Windows Hello کا PIN، Entra ID کے ذریعے سائن اِن اور روایتی ڈومین پاس ورڈ الگ الگ طریقے ہیں، اور PIN خاص طور پر ڈومین پاس ورڈ نہیں، چاہے وہ وہی ڈیسک ٹاپ کھولے۔

نیٹ ورک تصدیق انٹرایکٹو لاگ اون نہیں ہے

نئے پاس ورڈ سے فائل شیئرنگ کھولنا ثابت کرتا ہے کہ نیٹ ورک راستہ کام کرتا ہے۔ لیکن یہ انٹرایکٹو لاگ اون کیش کو تازہ نہیں کرتا، کیونکہ Windows نیٹ ورک اور انٹرایکٹو تصدیق کو الگ حالت والے الگ عمل سمجھتا ہے۔

تصدیق کنندہ صرف اُس وقت تازہ ہوتا ہے جب انٹرایکٹو لاگ اون واقعی کسی ڈومین کنٹرولر سے رابطہ کرے؛ میپ شدہ ڈرائیو یا Outlook کی درخواست ایسا نہیں کرتی۔

یہی فرق عام شکایت کی وضاحت کرتا ہے: صارف میل پڑھ سکتا ہے اور انٹرانیٹ کھول سکتا ہے، لیکن لاک اسکرین اب بھی پرانا پاس ورڈ مانگتی ہے۔ یہ بھی بتاتا ہے کہ سائن اِن کے بعد شروع کیا گیا VPN ابتدائی لاگ اون میں مدد کیوں نہیں کر سکتا، کیونکہ سرنگ اُس وقت آتی ہے جب فیصلہ مقامی طور پر ہو چکا ہوتا ہے۔

صحیح لمحے پر ایک آن لائن سائن اِن حاصل کریں

کیش اُس وقت تازہ ہوتا ہے جب صارف ڈومین قابلِ رسائی ہونے کے دوران انٹرایکٹو طور پر سائن اِن کرے۔ دور کی مشین کے لیے اس کا مطلب ہے کہ سرنگ اسناد کی جانچ سے پہلے موجود ہونی چاہیے، ڈیسک ٹاپ ظاہر ہونے کے بعد نہیں۔

دیکھیں کہ تعیناتی لاگ اون سے پہلے رابطے یا ڈیوائس سرنگ کی حمایت کرتی ہے یا نہیں۔ یہ اسی وقت کے لیے بنائے گئے ہیں، اور صارف کی سرنگ ان کا متبادل نہیں:

nltest /dsgetdc:corp.example
klist

اگر اینڈ پوائنٹ کے پاس لاگ اون سے پہلے کوئی راستہ نہیں، تو تنظیم کی دستاویز کردہ معاون بحالی کا عمل استعمال کریں۔ کچھ ماحول سرنگ کو لاک اسکرین پر کھلا رکھتے ہوئے جڑنے، لاک اور اَن لاک کرنے کا تسلسل استعمال کرتے ہیں؛ دیگر ڈیوائس کو زیرِ انتظام بحالی کے مرحلے پر بھیجتے ہیں۔ کلائنٹ سے مطابقت رکھنے والے کی پیروی کریں، اور اس پر انحصار کرنے سے پہلے یقینی بنائیں کہ سرنگ لاک اسکرین سے گزر جاتی ہے۔

واپسی کا راستہ محفوظ کریں

دور کی مشین سے سائن آؤٹ کرنے سے پہلے طے کریں کہ اگلا سائن اِن ڈومین تک کیسے پہنچے گا۔ سیشن کے ساتھ گرنے والی صارف سرنگ اُس واحد راستے کو ہٹا سکتی ہے جس پر آپ بھروسہ کر رہے تھے، اور پھر نہ پرانا نہ نیا پاس ورڈ آپ کو لاک اسکرین سے گزارے گا۔ متبادل کے طور پر مقامی منتظمی اکاؤنٹ یا بینڈ سے باہر کنسول رکھیں۔ بحالی کا مرحلہ وہاں لکھیں جہاں صارف سائن اِن کیے بغیر پہنچ سکے۔

معاونت کے لیے چار حقائق جمع کریں: پاس ورڈ کہاں بدلا، کون سی اسناد اب بھی آف لائن کام کرتی ہیں، سرنگ کے ذریعے ڈومین کنٹرولر قابلِ رسائی ہے یا نہیں، اور لیپ ٹاپ کون سا سائن اِن طریقہ استعمال کرتا ہے۔

یہ چار پرانی تصدیق کنندہ کو اکاؤنٹ لاک آؤٹ یا مسترد شدہ VPN سائن اِن سے الگ کرتے ہیں، جو ٹکٹ میں ایک جیسے لگتے ہیں مگر حل مختلف ہیں۔ مقفل اکاؤنٹ نیا پاس ورڈ آن لائن بھی مسترد کرے گا، اس لیے کیش کو موردِ الزام ٹھہرانے سے پہلے یہ آزمائیں۔

ایک آن لائن سائن اِن سے چکر بند کریں

مقصود یہ ہے کہ ڈومین قابلِ رسائی ہونے کے دوران ایک معاون انٹرایکٹو سائن اِن ہو، اور پھر ایک معلوم آف لائن حالت۔ وہی ایک واقعہ تصدیق کنندہ کو تازہ کرتا ہے اور ہر ڈیوائس پر پاس ورڈ بدلنے کا چکر ختم کرتا ہے۔

اس کے بعد کیش شدہ لاگ اونز کی تعداد اور ڈومین کنٹرولر کی تلاش سے حالت کی تصدیق کریں:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

اگر تعداد صفر ہے تو کیش شدہ لاگ اون پالیسی سے غیر فعال ہے اور پاس ورڈ کتنی ہی بار دوبارہ ترتیب دیا جائے، آف لائن رویہ نہیں بدلے گا۔ یہ مالک کے ساتھ اٹھانے والا پالیسی فیصلہ ہے، مقامی طور پر لاگو کرنے کا کوئی راستہ نہیں۔