![Windows VPN / TMG 服务器密码过期,无法发送新密码](https://linux22.com/image/643764/Windows%20VPN%20%2F%20TMG%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%AF%86%E7%A0%81%E8%BF%87%E6%9C%9F%EF%BC%8C%E6%97%A0%E6%B3%95%E5%8F%91%E9%80%81%E6%96%B0%E5%AF%86%E7%A0%81.png)
我有一台运行 Forefront TMG (7.0.9193.500) 的 Windows Server 2008R2 服务器,它充当我们的防火墙和 VPN 网关。在大多数情况下,它都能正常工作,阻止流量并允许用户通过 VPN 接入。我遇到了密码过期导致的问题 - 如果用户登录到运行 Windows 7 的客户端计算机,则无法发送新密码。
网络被严格封锁,只有少数几台机器可以访问互联网。同样,连接的客户端除了通过 VPN 连接到家庭地址外,不允许访问互联网(某些特定规则允许发现等,但不允许“正常”互联网)。客户端(使用 Windows 7 计算机)由 TMG 进行身份验证,TMG 将请求传递给一组 RADIUS 服务器,这些服务器本身就是 Windows Server NAP 计算机。
在密码过期后,用户无法发送新密码。如果他们登录 Windows,系统会告诉他们密码已过期并要求他们发送新密码。如果他们这样做,计算机就会卡在 VPN 拨入上,并显示“正在发送新密码...“看来它永远也无法实现。”
如果用户先注销,然后从登录屏幕通过 VPN 连接,这样做确实有效,但有时会导致密码不同步 - 因此 VPN 和服务器认为他们有新密码,但本地机器认为它使用的是旧密码。经过一番折腾,我可以让机器连接到 VPN 并重新同步密码,但这需要管理员干预。
所以我的问题是,有谁知道可能导致机器卡在发送新密码的问题是什么?
如果我查看 TMG 日志,我看不到任何有用的信息。我没有看到任何审计失败信息,在 NPS 日志中也看不到任何信息。我可能遗漏了一些东西,但我不太确定要查找什么。
VPN 客户端设置相当简单 - 尝试使用证书的 SSTP 并使用当前 Windows 用户名和密码作为主要方法,但我还添加了使用 EAP 的 PPTP 备份,以确定它是否与侦听器有关。