Далучэнне да дамена праз карыстальніцкі VPN і перажыць перазагрузку

Далучэнне да дамена можна выканаць праз VPN тыпу пункт-сайт. Што гэта злучэнне звычайна не можа зрабіць — застацца ўсталяваным падчас перазагрузкі, якая ідзе за ім, калі першы карыстальнік дамена спрабуе ўвайсці. Я праводжу далучэнне ў тры этапы: даказваю шлях і выяўленне, пакуль увайшоў лакальны адміністратар, выконваю далучэнне, затым тэстую першы ўваход у дамен перад перадачай ноўтбука. Кожны этап мае тэст, які правальваецца ў іншым месцы.

Менавіта падзел гэтых этапаў не дае праекту скончыцца ноўтбукам, які паспяхова далучыўся і якім немагчыма карыстацца.

Перад падключэннем: выпуск, лакальны адмін, DNS

Камп'ютару патрэбны выпуск, які падтрымлівае далучэнне да дамена, і лакальны адміністратар, упаўнаважаны яго выканаць. VPN павінен працаваць у тым жа сеансе, бо далучэнне выконваецца ў кантэксце бяспекі, які вы выкарыстоўваеце.

Нацэльце кліент на DNS каталога арганізацыі, а не на публічны рэзалвер і не на запіс у файле hosts. Для далучэння трэба знайсці запісы службаў і потым дасягнуць хастоў, якія гэтыя запісы называюць. Састарэлы суфікс або публічны рэзалвер накіроўваюць выяўленне зусім у іншае месца.

Праверце таксама гадзіннік. Kerberos не церпіць разыходжання часу, а ноўтбук, які месяц быў па-за сеткай, — частая крыніца заблытаных памылак далучэння.

Пацвердзіце, што дамен можна выявіць, а не толькі пінгнуць

Разрэшыце запіс LDAP SRV дамена перад спробай далучэння. Для прыкладнага асяроддзя з адным даменам пад назвай ad.corp.example запыт такі:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Атрыманы запіс неабходны, але не дастатковы. Разрэшыце кожнае імя DC з яго спісу і пацвердзіце, што патрэбныя службы дасягальныя праз тунель. Пінг да імя дамена амаль нічога не даказвае пра выяўленне.

Дазвольце дакументаваныя залежнасці AD: аўтэнтыфікацыю, трафік SMB і RPC, а таксама сінхранізацыю часу. Праверце кожную супраць правілаў фаерэла, якія вы фактычна разгарнулі. Публікацыя партоў кантролера дамена ў інтэрнэт — не той кароткі шлях, які варта разглядаць.

Выканайце далучэнне і прачытайце памылку

Выкарыстайце падтрыманую каманду далучэння або сістэмны дыялог і зафіксуйце дакладны тэкст памылкі. «Пазначаны дамен або не існуе, або з ім не ўдалося звязацца» паказвае на выяўленне або дасягальнасць, а не на ўліковыя даныя.

Калі аб'ект з такім жа імем ужо існуе, не выдаляйце яго рэфлекторна. Гэта можа быць загадзя падрыхтаваны ўліковы запіс, а узмацненне netjoin абмяжоўвае некаторыя выпадкі паўторнага выкарыстання ў залежнасці ад уласнасці і палітыкі. Папрасіце ўладальніка каталога праверыць або выправіць аб'ект.

Паспяховае далучэнне — гэта сярэдзіна, а не фініш. Наступны крок — той, які рэальна тэстуе карыстальнік.

Сплануйце першы ўваход у дамен

Завершанае далучэнне не стварае кэшаваныя ўліковыя даныя для кожнага карыстальніка дамена. На першым экране ўваходу ноўтбуку патрэбны шлях да DC, перш чым хоць адзін карыстальнік увайшоў. Калі ваш карыстальніцкі VPN запускаецца толькі пасля ўваходу, гэтага шляху няма. Гэта прабел у праекце, а не памылка кліента.

Выкарыстайце падтрыманы працэс перад уваходам або тунель прылады, існуючы шлях пляцоўкі або ўзгодненую альтэрнатыву для гэтага першага ўваходу. Затым праверце ўсю паслядоўнасць: перазагрузіцеся, дасягніце экрана ўліковых даных, увайдзіце як патрэбны карыстальнік дамена і пацвердзіце, што тунель паводзіць сябе як задумана.

Пераключэнне карыстальнікаў і захаванне VPN адрозніваюцца ў залежнасці ад кліента. Не мяркуйце, што злучэнне, пачатае як лакальны адмін, захаваецца ў сеансе іншага карыстальніка.

Захавайце лакальны доступ для аднаўлення

Захавайце ўзгоднены лакальны шлях аднаўлення перад перадачай ноўтбука. Калі першы ўваход у дамен не ўдасца, вам патрэбен шлях назад, які не залежыць ад таго ж тунеля, што толькі што адмовіў.

Запішыце, што вы даказалі: разрозненне SRV, дасягальнасць DC, памылку далучэння, метад першага ўваходу і ўліковы запіс аднаўлення. Гэты запіс — розніца паміж прайгравальнай зборкай і ноўтбукам, які працуе толькі ў офісе.