Entsperren mit UPN ohne Domainverbindung schlägt ab dem zweiten entsperren fehl - anderer benutzer -> Domain\User funktioniert

[alznik 0]

Hallo zusammen,

 

ich war hin und wieder stiller mitleser und konnte hierzu aber nichts finden. Dieser Thread könnte ähneln, aber brachte mir nichts für eine Lösung, da wir auch keine 2025 Server im Einsatz haben. Die zu genüge bei Borns Blog zu finden waren mit Fehlern und Problemen..   

 

Wir haben folgende Umgebung, die dafür relevant ist (02/2026 patches installiert)

2x Windows Server 2022 DCs  (Cluster1) 

1x Windows Server 2019 DC (Cluster2)

2x Windows Server 2022 für Azure AD Connect (Office 365 für Teams, Exchange usw wird genutzt)

1x Terminalserver 2019 und RDS-Gateway in der DMZ (2-FA über Drittanbieter aktiv)

verschiedenste Clients als Laptops zum einsatz mit Windows 11 Pro 24h2 und 25h2. Diese werden über MDT einheitlich aufgesetzt. (Nur eine gewisse anzahl arbeitet überhaupt remote)

Für alle ist das kerberos armoring seit längerem aktiviert, zeitlich daher eher kein zusammenhang seitdem dieses Problem auftritt.

 

Kommen wir zum Szenario, welches ich seit einigen Monaten nicht gelöst bekomme bei einigen Kollegen die remote arbeiten:

 

Mitarbeiter A schaltet seinen Laptop in der Firma aus und nimmt diesen mit für remote arbeiten 

Mitarbeiter A startet in den neuen Arbeitstag und meldet sich problemlos an (Gibt nur ein Kennwort ein, da zuletzt angemeldeter User) und öffnet die rdp-Datei zur Einwahl..

Mitarbeiter A telefoniert / erledigt anderes und der Laptop sperrt sich automatisch nach 10min inaktivität.

 

Hier beginnt das Problem. Der Mitarbeiter bekommt die Meldung "Passwort falsch", obwohl dieser nach Kontrolle sicher ist, dass das Passwort richtig ist.

Es gibt drei "fixes", wie der Mitarbeiter wieder arbeiten kann:

1. Komplett netzwerk abstecken / WLAN deaktivieren -> anmelden geht

2. Neustarten, dann geht es wieder einmal 

3. Wählt der Mitarbeiter A nun anderer Benutzer und gibt seinen User im domain\m.a Format ein, klappt der Login problemlos und er hat keine Probleme mehr im laufe des Arbeitstages von daheim.

 

Lese ich mit psexec als System die registry aus gibt es die standard 10x Einträge im Cache (Laptop wird nicht geshared, somit sollte es nicht durch mehrere Anmeldungen gesperrt werden).

 

Ich bin über jeden Input dankbar, vielleicht habe ich auch einfach nur was übersehen oder mache ich mich unnötig verrückt die anmeldung mit UPN zu realsieren anstatt PRÄ 200 SAM?

Es klappte nun mal Jahre lang problemlos mit dem UPN.. 

 

Wenn es gar keine Lösung gibt müssen wir darüber nachdenken für entsprechende Kollegen VPNs auszurollen, sodass es Domain-Kontakt gibt ab der ersten Anmeldung.

 

 

ereignislog.txt

[daabm 1.462]

Security Eventlog des Clients und der relevanten DCs prüfen - da müssen Einträge zu dem "Fehler" vorhanden sein. Und zwar mehr, als das was Du angehängt hast.

bearbeitet vor 18 Stunden von daabm