Давер дамена не прайшоў пасля месяца па-за сеткай? Спачатку праверце

Ноўтбук шэсць тыдняў знаходзіцца па-за VPN, вяртаецца, і карыстальнік не можа ўвайсці з даменным уліковым запісам. Памылка згадвае даверныя адносіны, таму нехта скідвае ўліковы запіс кампутара або прымушае карыстальніка перайсці на поўнае тунэляванне, і праблема нібы знікае. Ні адно з дзеянняў не даказала, што было зламана. Член дамена Windows можа заставацца па-за сеткай значна даўжэй за звычайны інтэрвал машыннага пароля, не губляючы давер аўтаматычна, таму першая задача — аддзяліць збой дасяжнасці ад сапраўднай няўзгодненасці сакрэту.

Памылка выглядае як давер, але тры станы падобныя

Карыстальнік можа увайсці з кэшаванымі даменнымі данымі, працоўная станцыя можа не знайсці кантролер дамена, або член і дамен могуць сапраўды разыходзіцца ў меркаванні пра ўліковы запіс машыны. Толькі трэці стан — гэта пашкоджаныя даверныя адносіны ў строгім сэнсе.

Здароўе рэплікацыі AD — чацвёртае назіранне, і яно зусім не пра гэтую працоўную станцыю. Яно апісвае ўзгодненасць паміж кантролерамі дамена, і здаровая панэль рэплікацыі не даказвае, што лакальны сакрэт гэтай машыны адпавядае яе ўліковаму запісу кампутара.

Звыклы прадвызначаны тэрмін у 30 дзён — гэта палітыка змены, а не дэдлайн заканчэння тэрміну па-за сеткай. Тлумачэнне Microsoft пра пароль уліковага запісу машыны апісвае ўзгоднены працэс змены, і арганізацыя можа наладзіць іншы інтэрвал.

Значок VPN нічога не даказвае пра бяспечны канал

Злучэнне мусіць быць дастаткова добрым, каб дасягнуць даменных службаў, перш чым любы тэст нешта значыць. Гэта азначае патрэбны DNS-рэзалвер дамена, кантролер, які можна знайсці, дасяжныя службы аўтэнтыфікацыі і гадзіннік, дастаткова блізкі для Kerberos.

Поўнае тунэляванне тут можа быць цалкам слушным рашэннем. Пераход на раздвоенае тунэляванне не з’яўляецца перадумовай здаровых даменных адносін, і стаўленне да яго як да такой ператварае дыягностыку ў змену архітэктуры. Праверце, які кантролер насамрэч выбірае працоўная станцыя, і захавайце гэтае імя разам з памылкай.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Запішыце DNS-сервер, вызначаны кантролер і дакладны тэкст памылкі. VPN-кліент, які паведамляе пра злучэнне, кажа вам, што тунэль існуе, а не што даменны шлях працуе. Кантролер, які адказвае на порце Kerberos, але не на порце каталога, — гэта знаходка файрвола, а не знаходка даверу.

Праверце член дамена, перш чым яго рамантаваць

На аўтарызаваным члене дамена Windows Test-ComputerSecureChannel -Verbose — гэта праверка канала паміж машынай і даменам толькі для чытання. Запускайце яе ў кантэксце машыны, якую даследуеце, а не з кантролера дамена, у якога іншая роля і іншыя правілы аднаўлення. Захавайце вывад і код выхаду, а не слова поспех або збой. Калі cmdlet адсутнічае ў гэтай зборцы, модуль — асобная праблема.

Вынік усё яшчэ патрабуе кантэксту. Калі машына не можа дасягнуць выбранага кантролера або аўтэнтыфікавацца на ім, няўдалы тэст не з’яўляецца незалежным доказам таго, што пароль па-за сеткай скончыўся. Захавайце фактычную памылку і выкарыстаны кантролер і паўтарыце тэст, калі шлях будзе вядома добрым.

Суаднясіце падзеі Netlogon на члене і на адпаведным кантролеры вакол інцыдэнту. Захавайце імя машыны, адрас крыніцы, час і любыя доказы змены ўліковага запісу. Паспяховы ўваход іншага карыстальніка або здаровая панэль кантролера не могуць замяніць абмен гэтай машыны.

Рамантуйце толькі тыя адносіны, якія вы даказалі

Калі злучэнне стабільнае і адміністратар пацвердзіў, што рамонт мэтазгодны, рэжым -Repair гэтай cmdlet з аўтарызаванымі ўліковымі данымі — адна падтрыманая аперацыя для працоўнай станцыі-члена. Ён змяняе адносіны і не з’яўляецца чарговым тэстам толькі для чытання.

Перад зменай трымайце пад рукой зацверджаны лакальны ўліковы запіс аднаўлення і шлях кіравання. Кантролеры дамена маюць іншую ролю аднаўлення, і гэтая працэдура не павінна ставіцца да іх як да звычайных працоўных станцый. Выкарыстоўвайце працоўны працэс аднаўлення арганізацыі замест паслядоўнага запуску некалькіх інструментаў скіду ў спадзеве, што адзін з іх правільны.

Пасля рамонту праверце новы тэст бяспечнага канала і першапачатковую даменную аперацыю. Захавайце профілі карыстальнікаў і стан праграм і не рабіце выдаленне і паўторнае далучэнне першым непатлумачаным дзеяннем.

Што праверыць, калі збой вернецца

Калі збой вяртаецца, паглядзіце на адкат, дублікат ідэнтычнасці і час змен уліковага запісу, а не на чарговы скід таго ж уліковага запісу. Адноўлены вобраз, здымак, кланаваная ідэнтычнасць машыны або скід уліковага запісу кампутара, зроблены ў іншым месцы, — усё гэта варта расследавання.

Часовы паспяховы скід — карысны доказ аднаўлення, але ён не даказвае, што перарывісты VPN выклікаў першапачатковую няўзгодненасць. Наступны выпадак і пакажа, ці была прычына ўвогуле ўсунута.

Запішыце кантролер, DNS-сервер і вывад тэсту ў заяўку. Менавіта гэты запіс адрознівае сапраўдны збой даверу ад ноўтбука, які проста не мог знайсці дамен.