Присъединяване към домейн през потребителски VPN и оцеляване след рестарта

Можете да извършите присъединяване към домейн през VPN от точка до сайт. Това, което тази връзка обикновено не може да направи, е да остане активна през рестарта след това, когато първият домейн потребител се опитва да влезе. Сега преминавам присъединяването на три етапа: доказване на пътя и откриването, докато е влязъл локален администратор, извършване на присъединяването и след това тестване на първия домейн вход, преди да предам лаптопа. Всеки етап има тест, който се проваля на различно място.

Разделянето на тези етапи е това, което пази проекта да не завърши с лаптоп, присъединен успешно и негоден за употреба.

Преди да се свържете: издание, локален администратор, DNS

Машината се нуждае от издание, което поддържа присъединяване към домейн, и от локален администратор, упълномощен да го извърши. VPN трябва да работи в същата сесия, защото присъединяването се изпълнява в контекста на сигурност, който използвате.

Насочете клиента към DNS на директорията на организацията, а не към публичен резолвер и не към запис във файла hosts. За присъединяването трябва да намери служебните записи и след това да достигне хостовете, които тези записи посочват. Остарял суфикс или публичен резолвер отвеждат откриването съвсем другаде.

Проверете и часовника. Kerberos не търпи разминаване на времето, а лаптоп, който е бил месец офлайн, е чест източник на объркващи грешки при присъединяване.

Потвърдете, че домейнът се открива, а не само се пингва

Резолвнете LDAP SRV записа на домейна, преди да опитате присъединяването. За примерна среда с един домейн на име ad.corp.example заявката е:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Върнатият запис е необходим, но не достатъчен. Резолвнете всяко име на DC, което е изброено, и потвърдете, че необходимите услуги са достъпни през тунела. Ping към името на домейна не доказва почти нищо за откриването.

Разрешете документираните зависимости на AD: удостоверяване, SMB и RPC трафик, плюс синхронизация на времето. Проверете всяка от тях срещу правилата на защитната стена, които действително сте внедрили. Публикуването на портовете на домейн контролера в интернет не е кратък път, който си струва.

Извършете присъединяването и прочетете грешката

Използвайте поддържаната команда за присъединяване или системния диалог и запишете точния текст на грешката. „Посоченият домейн или не съществува, или не може да бъде достигнат“ сочи към откриване или достъпност, а не към идентификационни данни.

Ако вече съществува обект със същото име, не го изтривайте по рефлекс. Той може да е предварително подготвен акаунт, а затягането на netjoin ограничава някои случаи на повторно използване според собствеността и политиката. Помолете собственика на директорията да прегледа или коригира обекта.

Успешното присъединяване е средата, а не финалът. Следващата стъпка е тази, която потребителят реално тества.

Планирайте първия домейн вход

Завършеното присъединяване не създава кеширани идентификационни данни за всеки домейн потребител. На първия екран за вход лаптопът се нуждае от път до DC, преди някой потребител да е влязъл. Ако потребителският ви VPN стартира само след вход, този път липсва. Това е пропуск в дизайна, а не грешка в клиента.

Използвайте поддържан работен поток за вход преди влизане или тунел на устройството, съществуващ път до сайт или одобрена алтернатива за този първи вход. След това тествайте цялата последователност: рестартирайте, достигнете екрана за идентификационни данни, влезте като предвидения домейн потребител и потвърдете, че тунелът се държи както е проектиран.

Превключването на потребители и устойчивостта на VPN варират според клиента. Не предполагайте, че връзка, стартирана като локален администратор, ще оцелее в сесията на друг потребител.

Пазете локален достъп за възстановяване

Запазете одобрен локален път за възстановяване, преди да предадете лаптопа. Ако първият домейн вход се провали, искате начин да се върнете, който не зависи от същия тунел, който току-що се провали.

Запишете какво сте доказали: резолвване на SRV, достъпност на DC, грешката при присъединяване, метода за първи вход и акаунта за възстановяване. Този запис е разликата между възпроизводима сглобка и лаптоп, който работи само в офиса.