Nima uchun Protected Users noutbukiga kirishdan oldin VPN kerak

Noutbuk, ishlaydigan hisob va mehmonxona tarmog'i birgalikda hech qanday qayta urinish buza olmaydigan kirish siklini hosil qiladi. Hisob Protected Users ichida, bu Windows'ga foydalanuvchini oflayn autentifikatsiya qilish uchun kerak bo'ladigan tekshiruvchini saqlashga yo'l qo'ymaydi. «Avval kiring, keyin tunnelni ulang» shaklidagi har qanday rejada tartib teskari, va himoya aynan va'da qilganini qiladi. Quyidagilar qo'llab-quvvatlanadigan Windows xostidagi an'anaviy Active Directory hisobini nazarda tutadi.

Himoya aslida nimani olib tashlaydi

Odatda Windows tekshiruvchini keshlaydi, shunda domen hisobi domen kontrolleri erishilmas bo'lganda ham kira oladi. Protected Users buni hisob uchun bloklaydi, bu oflayn domen kirishini ishonchsiz qilish o'rniga imkoniyat sifatida olib tashlaydi.

Bu eskirgan keshning oddiy muammosi emas va oddiy choralar bu yerda qo'llanilmaydi. Qayta-qayta onlayn kirish, yana bir marta parolni almashtirish yoki keshlangan kirishlar sonini oshirish qobiliyatni tiklamaydi, chunki bu harakatlarning hech biri siyosat saqlashdan bosh tortadigan tekshiruvchini yaratmaydi. Hisob loyihalangandek harakat qiladi va loyiha Windows so'ragan paytda tarmoq mavjud deb hisoblaydi. Alomatni kesh nosozligi deb qarash jamoalar hech qachon buzilmagan profilni qayta qurishiga olib keladigan yo'ldir.

Nima uchun tunnel ish stolidan oldin mavjud bo'lishi kerak

Qurilma domen autentifikatsiyasiga Windows talab qilgan o'sha paytda, ya'ni har qanday foydalanuvchi sessiyasi paydo bo'lishidan oldin yetib borishi kerak. Faqat ish stoli paydo bo'lgandan keyin ishga tushadigan VPN mijozi yangi kirishni hech qachon kelmaydigan yo'lni kutishga qoldiradi. Bog'liqlik mashinaga tegishli, hali kirmagan foydalanuvchiga emas.

Yakuniy nuqtalar va identifikatsiya egalari bilan kelishilgan qo'llab-quvvatlanadigan kirishdan oldingi tartibdan foydalaning. Kompyuter sertifikati bilan autentifikatsiya qilingan Always On VPN qurilma tunneli boshqariladigan qurilma o'sha joylashtirishning dastlabki shartlarini qanoatlantirganda mos keladi. Yetkazib beruvchining qo'llab-quvvatlanadigan kirish ekrani integratsiyasi boshqa variant. Avtomatik triggerli oddiy foydalanuvchi profili ikkalasi ham emas, mijoz interfeysida qanchalik o'xshash ko'rinmasin.

Bu yo'lga domen uchun nomlarni hal qilish, erishiladigan domen kontrolleri va hisob ishlatishi mumkin bo'lgan autentifikatsiya protokollari kerak, va «ulangan» indikatori ulardan hech birini bermaydi. Uning marshrutlari va filtrlari identifikatsiya xizmatlarini olib yurishi va keraksiz boshqa hech narsani emas, chunki o'sha prefikslar ro'yxati o'g'irlangan noutbuk birov kirishidan oldin oladigan yuzadir. Foydalanuvchi tunneli uchun qabul qilingan bo'lingan tunnel qarorlari qurilma tunneliga o'tmaydi, shuning uchun ikkalasini alohida ko'rib chiqing.

Erishilish autentifikatsiya mosligi emas

Tunnel paketlarni mukammal tashishi mumkin, biroq domen autentifikatsiyasi muvaffaqiyatsiz bo'ladi, chunki sinab ko'rilayotgan mexanizm hisob ishlata olmaydigan mexanizmdir. Guruh cheklovlarini qo'llaydigan domenda a'zolar uchun NTLM mavjud emas va Kerberos AES-mos hisob va konfiguratsiyani talab qiladi. Paket yo'li ikkalasini ham tuzata olmaydi. Shuning uchun domen kontrolleriga toza ping kirish ishlashining dalili emas.

Ikkita hisob ma'lumotlari tizimi ham ishlashi mumkin. VPN identifikatsiya provayderiga autentifikatsiya qilishi mumkin, Windows esa alohida domen kirishini talab qiladi, va birinchisining qabul qilinishi ikkinchisi haqida hech narsa demaydi. «VPN ulandi» va «foydalanuvchi kirdi» alohida kuzatishlar, va birini tuzatish ikkinchisini anglatmaydi.

Autentifikatsiya dalillarini o'qing

Bir xil urinish uchun hodisalarni faqat bir tomondan emas, mijozdan ham, domen kontrolleridan ham to'plang. Protected Users jurnallari Applications and Services Logs\Microsoft\Windows\Authentication ostida, va administrator biror narsa yozilishidan oldin jurnalni yoqishi kerak bo'lishi mumkin. Vaqt belgilarini tunnelning o'z ulanish jurnali bilan bog'lang, chunki tartib xatosi ikkala tomondan ham hisob ma'lumotlari nosozligidek ko'rinadi.

Quyidagi birinchi buyruq qurilma ko'rsatadigan har bir autentifikatsiya jurnalini sanab chiqadi, shuning uchun siz blog posti nomlaganini emas, mavjudini o'qiysiz. Ikkinchisi nomni bilganingizdan keyin so'nggi yozuvlarni o'qiydi. Autentifikatsiya paketi, hisob va muvaffaqiyatsizlik shartini qidiring, chunki yo'q tarmoq yo'li va rad etilgan mexanizm turli dalillar qoldiradi va ulardan faqat bittasi VPN muammosi. Agar tunnel urinishdan keyin ko'tarilgan bo'lsa, tartib noto'g'ri edi, bu yozuvlar nima desa ham.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Chegarani sovuq yuklashdan isbotlang

Sinovni chiqqan yoki hozir yuklangan holatdan cheklangan hisob bilan o'tkazing, va imtiyozli foydalanuvchilar uchun biror narsani o'zgartirishdan oldin tasdiqlangan tiklash yo'lini ochiq tuting. Allaqachon ishlab turgan ish stolida sinov muhim kod yo'lining hech bir qismini mashq qilmaydi, va bu keyingi qayta yuklashgacha chidagan tuzatish haqidagi hisobotlarning ko'pini izohlaydi. So'ng to'rt qadamni shu tartibda bajaring.

1. Birov kirishidan oldin qurilma domen kontrollerini topa olishini nltest /dsgetdc:corp.example.com bilan tasdiqlang.
2. Domen kirishini sinab ko'ring, so'ng klist bilan chipta umuman olinganini so'rang.
3. Qurilma yozadigan autentifikatsiya jurnalini yuqoridagi ikkita buyruq bilan o'qing va paket hamda muvaffaqiyatsizlik shartini qayd eting.
4. Tasdiqlangan zaxira hisob ma'lumotlari hali ham kirish ekranidan ishlashini tasdiqlang, chunki chegara sinovi muvaffaqiyatsiz bo'lsa, qaytishning yagona yo'li shu.

Berilgan hisob ma'lumotlari bilan fayl almashinuvini ochish ham oflayn interaktiv kirish yaratmaydi, shuning uchun u yuqoridagi hech bir qadamni almashtirmaydi. Agar tashkilotga haqiqatan ham aloqasiz kirish kerak bo'lsa, javob ataylab tanlangan mos hisob va yakuniy nuqta dizaynidir. Hisobni guruhdan chiqarish yoki har bir noutbukda bitta cheklanmagan favqulodda kirishni saqlash — VPN o'zgarishi sizning o'rningizga qabul qila olmaydigan identifikatsiya siyosati qarori.

Protected Users hujjati tekshiruvchining xatti-harakatini va bu dizayn bog'liq bo'lgan domen cheklovlarini ikkalasini ham tavsiflaydi. Birov safarga chiqishidan oldin tiklash jarayonini rejalashtiring, chunki sovuq yuklash sinovi u mashq qilinadigan yagona joy.