{"id":110,"date":"2017-04-04T13:06:10","date_gmt":"2017-04-04T11:06:10","guid":{"rendered":"https:\/\/itblogwildi.wordpress.com\/?p=110"},"modified":"2017-04-04T13:06:10","modified_gmt":"2017-04-04T11:06:10","slug":"windows-ad-benutzerkonto-wird-immer-wieder-gesperrt","status":"publish","type":"post","link":"https:\/\/itblog.wildi.dk\/?p=110","title":{"rendered":"Windows AD Benutzerkonto wird immer wieder gesperrt"},"content":{"rendered":"

Das Konto wurde immer wieder gesperrt. Nach dem entsperren in der ADCU Console, vergingen ein paar Minuten, und es wurde erneut gesperrt.<\/p>\n

Aus Erfahrung gibt es daf\u00fcr zwei Ursachen:<\/p>\n

    \n
  1. Benutzer hat Kennwort k\u00fcrzlich ge\u00e4ndert, aber dies noch nicht auf allen Ger\u00e4ten (z.b. MobilePhones) angepasst. Diese Ger\u00e4te versuchen nun, mit dem alten Kennwort auf das Konto zuzugreifen.<\/li>\n
  2. Irgendjemand versucht, auf das Konto zuzugreifen, und probiert verschiedene Passw\u00f6rter aus (Brute-Force-Attack).<\/li>\n<\/ol>\n

    Ersteres konnte ich mit dem Benutzer ausschliessen, da er das Kennwort schon lange (…) nicht mehr ge\u00e4ndert hatte. Warum auch ;).<\/p>\n

    Letzteres w\u00e4re schon bl\u00f6der…<\/p>\n

    Als erstes habe ich in auf dem AD DC einer elevated CMD mit folgendem Befehl das logging f\u00fcr Netlogon aktiviert:<\/p>\n

    nltest \/DBFlag:2080FFFF<\/pre>\n
    Nun muss der Netlogon-Service neu gestartet werden:<\/p>\n
    net stop netlogon && net start netlogon<\/pre>\n
    Nun wird ein Protokoll erstellt:<\/p>\n
    %windir%\\debug\\netlogon.log<\/pre>\n
    Darin wurden mit die Anmeldeversuche mit dem betroffenen Konto angezeigt:<\/p>\n
    04\/04 10:56:16 [LOGON] DOMAIN: SamLogon: Transitive Network logon of (null)\\USERNAME from FreeRDP (via SERVERNAME) Entered\n\n04\/04 10:56:16 [LOGON] DOMAIN: SamLogon: Transitive Network logon of (null)\\USERNAME from FreeRDP (via SERVERNAME) Returns 0xC0000234<\/pre>\n
    Nat\u00fcrlich wurden bei DOMAIN, USERNAME und SERVERNAME entsprechende Informationen protokolliert.<\/p>\n
    Mit diesen Informationen konnte ich feststellen, dass auf der Firewall eine direkte RPD-Verbindung auf den angegebenen SERVERNAME freigegeben war. Dies ist nat\u00fcrlich nicht gut, weshalb ich diese Regel gleich deaktiviert habe. Anschliessend wurden auf der Firewall noch ein paar Minuten lange die Verbindungsversuche protokolliert. Der Benutzeraccount wurde nicht mehr gesperrt.<\/p>\n
    Um das Logging wieder zu deaktivieren, m\u00fcssen folgende Befehle ausgef\u00fchrt werden:<\/p>\n
    Nltest \/DBFlag:0x0\n\nnet stop netlogon && net start netlogon<\/pre>\n
    Die Infos zu diesem Beitrag erhielt ich aus diesem KB<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"
    Das Konto wurde immer wieder gesperrt. Nach dem entsperren in der ADCU Console, vergingen ein paar Minuten, und es wurde… Read more<\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[3,42],"tags":[],"class_list":["post-110","post","type-post","status-publish","format-standard","hentry","category-active-directory","category-windows"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t