Vì sao laptop dùng Protected Users cần VPN trước khi đăng nhập

Một laptop, một tài khoản đang hoạt động và một mạng khách sạn cộng lại tạo thành vòng lặp đăng nhập mà không số lần thử lại nào phá được. Tài khoản nằm trong Protected Users, điều này ngăn Windows lưu bộ xác minh mà nó cần để xác thực người dùng ngoại tuyến. Mọi kế hoạch theo dạng «đăng nhập trước, sau đó kết nối đường hầm» đều có thứ tự ngược, và biện pháp bảo vệ đang làm đúng như những gì nó hứa. Phần sau giả định một tài khoản Active Directory truyền thống trên máy chủ Windows được hỗ trợ.

Biện pháp bảo vệ thực sự loại bỏ điều gì

Thông thường Windows lưu một bộ xác minh vào bộ nhớ đệm để tài khoản miền có thể đăng nhập khi bộ điều khiển miền không thể truy cập. Protected Users chặn điều đó với tài khoản, qua đó loại bỏ khả năng đăng nhập miền ngoại tuyến thay vì làm cho nó không đáng tin cậy.

Đây không phải sự cố bộ nhớ đệm cũ thông thường, và các biện pháp thường dùng không áp dụng ở đây. Đăng nhập trực tuyến nhiều lần, đổi mật khẩu thêm một lần nữa hay tăng số lần đăng nhập được lưu sẽ không khôi phục khả năng đó, vì không hành động nào trong số đó tạo ra bộ xác minh mà chính sách từ chối lưu. Tài khoản đang hành xử đúng như thiết kế, và thiết kế giả định rằng mạng có mặt khi Windows hỏi. Coi triệu chứng là lỗi bộ nhớ đệm là con đường khiến các nhóm cuối cùng dựng lại một cấu hình chưa bao giờ hỏng.

Vì sao đường hầm phải tồn tại trước màn hình nền

Thiết bị phải tới được xác thực miền ngay tại thời điểm Windows yêu cầu, tức là trước khi có bất kỳ phiên người dùng nào. Một ứng dụng VPN chỉ khởi động sau khi màn hình nền xuất hiện sẽ để lần đăng nhập mới chờ một đường đi không bao giờ tới. Sự phụ thuộc thuộc về cỗ máy, không thuộc về người dùng chưa đăng nhập.

Hãy dùng một cơ chế đăng nhập trước được hỗ trợ và đã thống nhất với chủ sở hữu thiết bị đầu cuối và danh tính. Đường hầm thiết bị Always On VPN được xác thực bằng chứng chỉ máy tính là phù hợp khi thiết bị được quản lý đáp ứng các điều kiện tiên quyết của việc triển khai đó. Tích hợp màn hình đăng nhập được nhà cung cấp hỗ trợ là một lựa chọn khác. Một hồ sơ người dùng thông thường với trình kích hoạt tự động không phải cả hai, dù trông giống đến đâu trong giao diện ứng dụng.

Con đường đó cần phân giải tên cho miền, một bộ điều khiển miền có thể truy cập và các giao thức xác thực mà tài khoản được phép dùng, và không chỉ báo «đã kết nối» nào cung cấp được những thứ đó. Các tuyến và bộ lọc của nó phải mang các dịch vụ danh tính và không mang gì khác không cần thiết, vì danh sách tiền tố đó chính là bề mặt mà một laptop bị đánh cắp có được trước khi ai đó đăng nhập. Các quyết định đường hầm chia tách đưa ra cho đường hầm người dùng không áp dụng cho đường hầm thiết bị, nên hãy xem xét cả hai riêng rẽ.

Khả năng tiếp cận không phải là tương thích xác thực

Đường hầm có thể truyền gói tin hoàn hảo trong khi xác thực miền thất bại, vì cơ chế đang được thử là cơ chế mà tài khoản không được dùng. Trong một miền áp đặt các hạn chế của nhóm, NTLM không khả dụng cho thành viên và Kerberos cần tài khoản cùng cấu hình tương thích AES. Một đường đi gói tin không thể sửa được cả hai. Đó là lý do một ping sạch tới bộ điều khiển miền không phải bằng chứng rằng đăng nhập sẽ hoạt động.

Cũng có thể có hai hệ thống thông tin đăng nhập cùng tham gia. VPN có thể xác thực với một nhà cung cấp danh tính trong khi Windows cần riêng một lần đăng nhập miền, và việc chấp nhận cái thứ nhất không nói gì về cái thứ hai. «VPN đã kết nối» và «người dùng đã đăng nhập» là hai quan sát riêng biệt, và sửa cái này không hàm ý cái kia.

Hãy đọc bằng chứng xác thực

Thu thập sự kiện từ ứng dụng khách và từ một bộ điều khiển miền cho cùng một lần thử, chứ không chỉ từ một phía. Nhật ký Protected Users nằm dưới Applications and Services Logs\Microsoft\Windows\Authentication, và quản trị viên có thể phải bật một nhật ký trước khi nó ghi lại điều gì. Hãy đối chiếu mốc thời gian với nhật ký kết nối của chính đường hầm, vì lỗi thứ tự trông giống lỗi thông tin đăng nhập từ cả hai phía.

Lệnh đầu tiên dưới đây liệt kê mọi nhật ký xác thực mà thiết bị hiển thị, nhờ đó bạn đọc nhật ký tồn tại chứ không phải nhật ký mà một bài blog đã nêu tên. Lệnh thứ hai đọc các mục gần đây sau khi bạn biết tên. Hãy tìm gói xác thực, tài khoản và điều kiện thất bại, vì một đường mạng thiếu và một cơ chế bị từ chối để lại bằng chứng khác nhau và chỉ một trong hai là vấn đề VPN. Nếu đường hầm lên sau lần thử, thứ tự đã sai bất kể các mục đó nói gì.

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

Chứng minh ranh giới từ lần khởi động nguội

Chạy thử nghiệm từ trạng thái đã đăng xuất hoặc vừa khởi động với một tài khoản hạn chế, và giữ mở một đường khôi phục đã được phê duyệt trước khi thay đổi bất cứ điều gì cho người dùng đặc quyền. Thử nghiệm trên màn hình nền đang chạy sẵn không thực hành bất kỳ phần nào của đường mã quan trọng, và điều đó giải thích phần lớn báo cáo về một bản sửa chỉ trụ được tới lần khởi động lại kế tiếp. Sau đó hãy đi qua bốn bước theo thứ tự này.

1. Xác nhận thiết bị có thể tìm thấy bộ điều khiển miền trước khi ai đó đăng nhập, bằng nltest /dsgetdc:corp.example.com.
2. Thử đăng nhập miền, sau đó hỏi xem có lấy được vé nào không, bằng klist.
3. Đọc nhật ký xác thực mà thiết bị ghi lại, bằng hai lệnh ở trên, và ghi lại gói cùng điều kiện thất bại.
4. Xác nhận thông tin đăng nhập khôi phục đã được phê duyệt vẫn hoạt động từ màn hình đăng nhập, vì đó là con đường duy nhất trở lại nếu thử nghiệm ranh giới thất bại.

Mở một thư mục chia sẻ với thông tin đăng nhập được cung cấp cũng không tạo ra đăng nhập tương tác ngoại tuyến, nên nó không thay thế bất kỳ bước nào ở trên. Nếu tổ chức thực sự cần đăng nhập không có kết nối, câu trả lời là một thiết kế tài khoản và thiết bị đầu cuối tương thích được chọn có chủ ý. Việc đưa tài khoản ra khỏi nhóm, hay giữ một lần đăng nhập khẩn cấp không hạn chế trên mọi laptop, là quyết định chính sách danh tính mà một thay đổi VPN không thể đưa ra thay bạn.

Tài liệu Protected Users mô tả cả hành vi của bộ xác minh và các hạn chế miền mà thiết kế này phụ thuộc vào. Hãy lập kế hoạch quy trình khôi phục trước khi ai đó đi công tác, vì thử nghiệm khởi động nguội là nơi duy nhất nó được thực hành.