Nega domen noutbuki oflayn rejimda eski parolni qabul qiladi

Parol o‘zgarishi hamma joyga bir vaqtda yetib boradi, faqat bir hafta oflayn bo‘lgan o‘sha bitta noutbukdan tashqari. Veb-pochta yangi parolni qabul qiladi, ofisdagi ish stoli ham qabul qiladi, masofadagi mashina esa VPN o‘chirilganda hali ham eski parol bilan kiradi. Bu ikkinchi parol emas va katalogdagi sinxronizatsiya xatosi ham emas. Bu keshlangan kirish tekshiruvchisi o‘zi uchun yaratilgan ishni qilmoqda, yechim esa qayta o‘rnatish emas, ketma-ketlikdir.

Noutbuk keshlangan tekshiruvchini tekshirmoqda

Domeniga qo‘shilgan Windows yaqin oradagi muvaffaqiyatli interaktiv kirishlar uchun mahalliy tekshiruvchi saqlaydi, shunda hech bir domen kontrolleri javob bermasa ham mashina yuklana oladi. Bu tekshiruvchi o‘sha kirish paytidagi paroldan olinadi. Parolni boshqa joyda o‘zgartirish katalogni yangilaydi, u vaqtdan beri u bilan gaplashmagan noutbukdagi nusxani emas.

Shuning uchun eski parol har qanday yangi domen autentifikatsiyasi uchun yaroqsiz bo‘lsa-da, mahalliy sessiyani hali ham ocha oladi. Bu ikki xil kuzatuv, ularni aralashtirish esa qayta-qayta tiklashga olib keladi.

Boshqa narsani o‘zgartirishdan oldin aslida qaysi hisob ma’lumotlari ishlatilayotganini tasdiqlang. Windows Hello PIN, Entra ID orqali kirish va an’anaviy domen paroli alohida mexanizmlar, va aynan PIN domen paroli emas, hatto u o‘sha ish stolini ochsa ham.

Tarmoq autentifikatsiyasi interaktiv kirish emas

Yangi parol bilan fayl almashinuvini ochish tarmoq yo‘li ishlayotganini isbotlaydi. Lekin u interaktiv kirish keshini yangilamaydi, chunki Windows tarmoq va interaktiv autentifikatsiyani alohida holatga ega alohida amallar deb biladi.

Tekshiruvchi faqat interaktiv kirish haqiqatan domen kontrolleriga murojaat qilganda yangilanadi; ulangan disk yoki Outlook so‘rovi buni qilmaydi.

Bu farq odatdagi shikoyatni tushuntiradi: foydalanuvchi pochtani o‘qib, intranetni ocha oladi, lekin qulflash ekrani hali ham eski parolni so‘raydi. Shuningdek, kirishdan keyin ishga tushirilgan VPN boshlang‘ich kirishga nima uchun yordam bera olmasligini tushuntiradi, chunki tunnel qaror mahalliy qabul qilingandan keyin keladi.

To‘g‘ri paytda bitta onlayn kirishni oling

Kesh foydalanuvchi domen yetib boriladigan paytda interaktiv kirganda yangilanadi. Masofadagi mashina uchun bu tunnel hisob ma’lumotlari baholanishidan oldin mavjud bo‘lishi kerak degani, ish stoli paydo bo‘lgandan keyin emas.

Joylashtirish kirishdan oldingi ulanishni yoki qurilma tunnelini qo‘llab-quvvatlayotganini tekshiring. Ular aynan shu vaqt uchun yaratilgan va foydalanuvchi tunnel ularning o‘rnini bosmaydi:

nltest /dsgetdc:corp.example
klist

Agar oxirgi nuqtada kirishdan oldingi yo‘l bo‘lmasa, tashkilot hujjatlashtirgan qo‘llab-quvvatlanadigan tiklash jarayonidan foydalaning. Ba’zi muhitlar tunnelni qulflash ekranida ochiq ushlab, ulanish, qulflash va ochish ketma-ketligini qo‘llaydi; boshqalari qurilmani boshqariladigan tiklash bosqichiga yuboradi. Mijozga mos keladiganini kuzatib boring va unga tayanishdan oldin tunnel qulflash ekranidan o‘tishini tasdiqlang.

Qaytish yo‘lini himoya qiling

Masofadagi mashinadan chiqishdan oldin keyingi kirish domenga qanday yetib borishini hal qiling. Sessiya bilan birga yiqiladigan foydalanuvchi tunnel siz ishongan yagona yo‘lni olib tashlashi mumkin, shunda na eski, na yangi parol sizni qulflash ekranidan o‘tkazadi. Zaxira sifatida mahalliy administrator hisobi yoki banddan tashqari konsolni saqlang. Tiklash bosqichini foydalanuvchi kirmasdan yetib boradigan joyga yozib qo‘ying.

Qo‘llab-quvvatlash uchun to‘rtta faktni to‘plang: parol qayerda o‘zgardi, qaysi hisob ma’lumotlari hali ham oflayn ishlaydi, domen kontrolleriga tunnel orqali yetib borish mumkinmi va noutbuk qaysi kirish usulidan foydalanadi.

Bu to‘rttasi eskirgan tekshiruvchini hisob bloklanishidan yoki rad etilgan VPN kirishidan ajratadi, ular tiketda bir xil ko‘rinadi, ammo yechimlari boshqacha. Bloklangan hisob yangi parolni onlaynda ham rad etadi, shuning uchun keshni ayblashdan oldin buni sinab ko‘ring.

Davrani bitta onlayn kirish bilan yoping

Maqsad — domen yetib boriladigan paytda bitta qo‘llab-quvvatlanadigan interaktiv kirish, so‘ngra ma’lum oflayn holat. Aynan o‘sha bitta hodisa tekshiruvchini yangilaydi va har bir qurilmada parolni o‘zgartirish davrini tugatadi.

Keyin holatni keshlangan kirishlar soni va domen kontrollerini qidirish bilan tekshiring:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Agar son nolga teng bo‘lsa, keshlangan kirish siyosat bilan o‘chirilgan va parol necha marta tiklanmasin, oflayn xatti-harakat o‘zgarmaydi. Bu egasi bilan ko‘tariladigan siyosat qarori, mahalliy qo‘llaniladigan aylanib o‘tish yo‘li emas.