knowledge-base/projects/glavtorg/instruction-yaroslav-autologon.md

type, project, audience, tags

type	project	audience	tags
instruction	glavtorg	client	glavtorg instruction yaroslav security

Ярославу: убрали автологин на сервере 1С

Ярослав, по вашей просьбе отключил автоматический вход на сервере. Ниже — что было, что изменилось и что от вас нужно.

Почему это было опасно

На сервере крутятся две виртуальные машины в VMware Workstation:

• nbgw (192.168.1.50) — шлюз NetBird, через него ходит вся VPN-связь с офисами
• Ubuntu (192.168.1.51) — AmneziaVPN сервер

Чтобы они стартовали сами после перезагрузки, в апреле был настроен автоматический вход в Windows под вашим логином (программа Sysinternals Autologon). Пароль зашифрован в системе, но результат: после загрузки сервер сразу оказывается с готовым рабочим столом администратора, экран не блокируется. Если кто-то физически подойдёт к серверу или подключит монитор/клавиатуру — он сразу получает полный доступ к 1С, файлам, сети.

То есть пароль на учётке у вас стоит, но он бесполезен, пока сервер сам логинится после ребута.

Почему отключение безопасно (виртуалки не упадут)

Проверил как именно стартуют VM:

• Запускает их Планировщик заданий Windows (Task Scheduler → задача VMware AutoStart)
• Задача настроена на режим «Выполнять вне зависимости от того, выполнен ли вход пользователя» — пароль хранится в самой задаче
• Команда vmrun ... nogui поднимает VM в фоне (без окна), они работают как системные процессы

То есть автологин был нужен в апреле для подстраховки, но по факту Планировщик справляется сам. Виртуалки уже несколько ребутов стартовали без интерактивной сессии (последний — 22 мая, результат 0 = успешно).

Что я изменил (уже сделано)

В реестре Windows:

• AutoAdminLogon: 1 → 0 (автологин выключен)
• ForceAutoLogon: 1 → 0 (бесполезный флаг, мешал logoff)
• AutoLogonCount — удалён

Имя пользователя на экране входа осталось предзаполнено («Ярослав / glavtorg») — это просто удобство, не риск. Пароль всё так же спрашивается.

На всякий случай положил на сервер:

• C:\Scripts\winlogon-backup-20260523-125613.reg — бэкап старых настроек
• C:\Scripts\rollback-autologon.cmd — откат одной командой

Что нужно от вас

1. Перезагрузить сервер в удобное окно (вечером после работы, в выходные — на ваше усмотрение). Без перезагрузки эффект не проявится, но и текущее состояние не меняется — пока сервер работает, всё как раньше.

shutdown /r /t 0

(или через меню «Пуск → Перезагрузка»)

2. Сразу после загрузки проверить:

• Сервер должен встать на экран входа Windows (без автоматического логина — это то, что мы хотели)
• Заходим под собой, открываем PowerShell от админа и проверяем что VM поднялись:

& "C:\Program Files (x86)\VMware\VMware Workstation\vmrun.exe" list

Должно показать обе VM:

Total running VMs: 2
D:\VMs\nbgw\Ubuntu 64-bit.vmx
D:\VMs\Ubuntu 64-bit.vmx

• Дополнительно: пинг по 192.168.1.50 и 192.168.1.51 — обе должны отвечать
• Удалёнка через NetBird (Diana, Юрий Витальевич) должна работать как раньше

3. Если что-то не так — VM не поднялись, NetBird не работает — запустите откат:

C:\Scripts\rollback-autologon.cmd

(запустить от админа, потом перезагрузить сервер). После этого автологин вернётся как был, и сразу напишите мне — разберёмся почему Планировщик не справился.

Дополнительно про физический доступ

Даже после этого фикса, если у сервера есть подключённый монитор/клавиатура (или iLO/IPMI/KVM-over-IP), кто-то с физическим доступом всё равно увидит экран входа и может попытаться ввести пароль. Защита от этого — отдельная история:

• Длинный сложный пароль учётки (сейчас 23947592 — короткий, цифровой; рекомендую сменить)
• BitLocker на системном диске (если железо позволяет TPM)
• Физически закрытая стойка/шкаф с сервером
• Отключить локальный логон по консоли для лишних пользователей

Если интересно — могу помочь со сменой пароля и BitLocker отдельным заходом.

---

Если что — пишите.