Βάση Συχνών Ερωτήσεων

Για να απενεργοποιήσετε ή να χαλαρώσετε το κλείδωμα λογαριασμού (Account Lockout) στον Windows Server 2025, πρέπει να τροποποιήσετε τις ρυθμίσεις της πολιτικής ασφαλείας (Security Policy) είτε τοπικά είτε σε επίπεδο domain (αν ο server σας είναι domain controller). Παρακάτω περιγράφονται οι δύο πιο συνηθισμένες περιπτώσεις:

1. Αν ο server είναι Domain Controller (Active Directory)

1. Άνοιγμα του Group Policy Management Editor

   • Στον Domain Controller, ανοίξτε το “Group Policy Management” (π.χ. μέσω του Server Manager → Tools → Group Policy Management).

   • Εντοπίστε το Default Domain Policy (ή την policy που έχετε ειδικά για λογαριασμούς) και κάντε δεξί κλικ → Edit.

2. Πλοήγηση στην πολιτική “Account Lockout Policy”
   Στο Group Policy Management Editor, μεταφερθείτε στο:

    

   Computer Configuration

   └─ Policies

     └─ Windows Settings

       └─ Security Settings

         └─ Account Policies

           └─ Account Lockout Policy

3. Τροποποίηση των παραμέτρων
   Στο δεξί μέρος της οθόνης θα δείτε τρεις ρυθμίσεις:

   • Account lockout threshold
     Ορίζει μετά από πόσες (λανθασμένες) προσπάθειες σύνδεσης να κλειδώνει ο λογαριασμός.

     • Αν θέλετε να απενεργοποιήσετε εντελώς το κλείδωμα, θέστε την τιμή σε 0 invalid logon attempts.

       Αυτό σημαίνει ότι ο λογαριασμός δεν θα κλειδώνει ποτέ λόγω επαναλαμβανόμενων αποτυχημένων προσπαθειών.

   • Account lockout duration
     Εδώ καθορίζετε πόσο καιρό παραμένει κλειδωμένος ο λογαριασμός (σε λεπτά).

     • Αν έχετε βάλει threshold στο 0, δεν ισχύει πρακτικά, αλλά αν π.χ. βάλετε ένα μικρό αριθμό ώστε να μην ενοχλείτε, μπορείτε να αυξήσετε τη διάρκεια σε ένα πολύ μικρό λεπτό (π.χ. 1 λεπτό).

   • Reset account lockout counter after
     Ορίζει πότε μηδενίζονται οι λανθασμένες προσπάθειες (σε λεπτά).

     • Αν έχετε threshold=0, δεν χρειάζεται να το πειράξετε.

   Συνοπτικά, για πλήρη απενεργοποίηση:

   • Set Account lockout threshold to 0

   • Αυτόματα οι άλλες δύο παράμετροι θα απενεργοποιηθούν (κλειδωμένοι λογαριασμοί δεν υπάρχουν).

4. Ενημέρωση των clients/domain controllers

   • Εκτελέστε σε κάθε DC (ή σε μία κονσόλα με κατάλληλα δικαιώματα):

      

     gpupdate /force

     για να εφαρμοστεί άμεσα η αλλαγή.

   • Οι clients (οι υπολογιστές μέλη του domain) θα λάβουν τη νέα πολιτική εντός λίγων λεπτών (ή μετά από επανεκκίνηση/GPUpdate).

2. Αν ο server είναι Stand-alone ή Member Server (τοπική πολιτική)

1. Άνοιγμα Local Security Policy

   • Πατήστε Start → πληκτρολογήστε secpol.msc → Enter (ή ανοίγετε τον Server Manager → Tools → Local Security Policy).

2. Πλοήγηση στην “Account Lockout Policy”
   Στο παράθυρο της Local Security Policy, μεταφερθείτε στο:

    

   Security Settings

   └─ Account Policies

     └─ Account Lockout Policy

3. Τροποποίηση των ρυθμίσεων
   – Account lockout threshold: Ορίστε 0 invalid logon attempts για να απενεργοποιήσετε εντελώς το κλείδωμα.
   – Account lockout duration και Reset account lockout counter after: Δεν χρειάζεται να αλλάξετε αν ο threshold είναι 0.

4. Εφαρμογή
   Αφού κάνετε OK ή Apply, οι αλλαγές ισχύουν άμεσα. Αν θέλετε να είστε σίγουροι, μπορείτε να κάνετε gpupdate /force από ένα elevated Command Prompt.

3. Εναλλακτική μέθοδος με PowerShell ή Command Line (για Stand-alone)

Αν προτιμάτε να το κάνετε μέσω γραμμής εντολών χωρίς γραφικό περιβάλλον:

1. Άνοιγμα elevated PowerShell ή Command Prompt
   – Κάντε δεξί κλικ στο PowerShell/Command Prompt → “Run as Administrator”.

2. Εκτέλεση εντολής για απενεργοποίηση

    

   net accounts /lockoutthreshold:0

   Αυτόματα ρυθμίζει τον “Account lockout threshold” στο 0, απενεργοποιώντας το κλείδωμα.

   • Για να δείτε την τρέχουσα ρύθμιση, τρέξτε απλώς:

      

     net accounts

     Θα δείτε γραμμένο:

      

     Account lockout threshold: 0 invalid logon attempts Account lockout duration: Never Lockout observation window: Never

4. Προσοχή και Σημειώσεις Ασφαλείας

• Κίνδυνος brute-force επιθέσεων:
  Η απενεργοποίηση (δηλαδή το να επιτρέπεται απεριόριστος αριθμός λανθασμένων προσπαθειών) αυξάνει τον κίνδυνο ύπαρξης brute-force ή dictionary επιθέσεων. Αν είναι σε περιβάλλον internet-facing (π.χ. RDP ανοιχτό στο internet), σκεφτείτε πολύ σοβαρά αν θέλετε να το απενεργοποιήσετε εντελώς.

  • Εναλλακτικά, μπορείτε να ορίσετε ένα μεγάλο threshold, π.χ. 10–15 λανθασμένες προσπάθειες, και μικρή διάρκεια κλειδώματος (π.χ. 1–5 λεπτά), ώστε να μειώσετε την όχληση αλλά να κρατήσετε κάποιο βασικό επίπεδο προστασίας.

• Παράγοντες που μπορεί να “σκανάρουν” λανθασμένες προσπάθειες:

  • Αποθηκευμένοι κωδικοί σε δικτυοκαταλόγους (mapped drives), scheduled tasks, services με λάθος credentials κ.λπ.

  • Αν ο χρήστης έχει αποθηκεύσει παλιό κωδικό σε drive mapping ή service, το σύστημα θα εκτελεί επανειλημμένα λανθασμένα logon attempts και θα κλειδώνει το λογαριασμό “αυθόρμητα”.

  • Σε αυτή την περίπτωση, ελέγξτε εάν υπάρχουν:

    1. Mapped network drives με παλιό κωδικό.

    2. Scheduled tasks που τρέχουν με credentials του χρήστη.

    3. Services που τρέχουν υπό τον συγκεκριμένο χρήστη.

    4. Connection attempts από κινητές συσκευές (π.χ. Outlook Mobile) με λανθασμένο κωδικό.

Συνοπτικά Βήματα (Stand-alone / Member Server)

1. Άνοιγμα Local Security Policy (secpol.msc).

2. Μετάβαση σε Account Policies → Account Lockout Policy.

3. Ορισμός Account lockout threshold = 0.

4. Apply/OK και gpupdate /force (αν θέλετε άμεση εφαρμογή).

Συνοπτικά Βήματα (Domain Controller)

1. Άνοιγμα Group Policy Management → Edit Default Domain Policy (ή άλλη GPO που έχει ρυθμίσει αυτό).

2. Μετάβαση σε Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Account Lockout Policy.

3. Ορισμός Account lockout threshold = 0.

4. Apply/OK, περιμένετε ή τρέξτε gpupdate /force στον DC.

Εφόσον ακολουθήσετε τα παραπάνω, ο λογαριασμός δεν θα κλειδώνει πλέον λόγω επαναλαμβανόμενων αποτυχημένων προσπαθειών σύνδεσης. Αν, αντί να τον απενεργοποιήσετε εντελώς, θέλετε απλώς να μειώσετε την “ενοχλητική” συμπεριφορά (π.χ. αν κλειδώνεται επειδή έχετε αποθηκευμένους παλιούς κωδικούς σε mapped drives ή υπηρεσίες), μπορείτε να αυξήσετε απλώς το threshold (π.χ. σε 10) και να βελτιώσετε το duration (π.χ. 5 λεπτά), ώστε να είναι πιο “χαλαρό” αλλά όχι εντελώς ανυπεράσπιστο.