为什么域笔记本离线时仍接受旧密码

密码修改会同时到达各处，唯独那台离线一周的笔记本例外。网页邮箱接受新密码，办公室的台式机也接受，而 VPN 断开时，远程机器仍然用旧密码登录。这不是第二个密码，也不是目录同步故障。这是缓存的登录验证器在按设计行事，解法是一套步骤，而不是重置。

笔记本在核对缓存的验证器

已加入域的 Windows 会为最近成功的交互式登录保留本地验证器，以便在没有域控制器响应时也能启动。该验证器由那次登录时的密码派生而来。在其他地方改密码只会更新目录，不会更新自那以后未与目录通信的笔记本上的副本。

因此旧密码仍能打开本地会话，尽管它对任何新的域身份验证都已失效。这是两个不同的观察，把它们混为一谈就会反复重置。

在改动别的之前，先确认实际使用的是哪种凭据。Windows Hello PIN、Entra ID 登录和传统域密码是彼此独立的机制，尤其是 PIN，即使它解锁同一台桌面，也不是域密码。

网络身份验证不等于交互式登录

用新密码打开文件共享只能证明网络路径可用。它不会刷新交互式登录缓存，因为 Windows 把网络身份验证和交互式身份验证视为状态彼此独立的两种操作。

只有当交互式登录真正联系到域控制器时，验证器才会刷新；映射的驱动器或 Outlook 提示不会做到这一点。

这一区别解释了常见的报告：用户能读邮件、能打开内网，但锁屏仍要旧密码。它也解释了为什么登录后才启动的 VPN 帮不上首次登录，因为隧道是在本地已经做出判断之后才建立的。

在正确的时机取得一次在线登录

当域可达时，用户以交互方式登录，缓存才会刷新。对远程机器而言，这意味着隧道必须在凭据被评估之前就存在，而不是等桌面出现之后。

检查部署是否支持登录前连接或设备隧道。它们正是为这个时机设计的，用户隧道不能替代：

nltest /dsgetdc:corp.example
klist

如果端点没有登录前通路，就采用组织文档中受支持的恢复流程。有些环境采用连接、锁定、解锁的顺序，并在锁屏期间保持隧道开启；另一些则把设备交给受管理的恢复步骤。按与客户端匹配的那种来做，并在依赖它之前确认隧道能挺过锁屏。

保护回来的路

在从远程机器注销之前，先决定下一次登录如何到达域。随会话一同断开的用户隧道可能移除你唯一指望的通路，那时旧密码和新密码都无法让你越过锁屏。保留一个本地管理员账户或带外控制台作为退路。把恢复步骤写在用户无需登录就能拿到的地方。

支持时收集四个事实：密码在哪里改的、哪种凭据离线仍可用、隧道能否到达域控制器、笔记本使用哪种登录方式。

这四项把过期的验证器与账户锁定或 VPN 登录被拒区分开来，它们在工单里看起来相似，处理方式却不同。被锁定的账户在线也会拒绝新密码，所以在归咎于缓存之前先测这一点。

用一次在线登录收尾

目标是在域可达时完成一次受支持的交互式登录，随后进入已知的离线状态。正是这一事件刷新了验证器，并终结了在每台设备上反复改密码的循环。

之后用缓存登录数和域控制器查询来验证状态：

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

如果计数为零，说明缓存登录已被策略禁用，无论重置多少次密码，离线行为都不会改变。这是要向负责人提出的策略决定，而不是在本地绕过的办法。