Trust domene pao nakon mjesec dana van mreže? Provjerite prvo

Laptop je šest sedmica van VPN-a, vrati se, i korisnik ne može da se prijavi domenskim računom. Greška spominje odnos povjerenja, pa neko resetuje račun računara, ili prisili korisnika na puno tuneliranje, i problem kao da nestane. Nijedna radnja nije dokazala šta je bilo pokvareno. Windows član može ostati van mreže znatno duže od uobičajenog intervala lozinke mašine, a da automatski ne izgubi povjerenje, pa je prvi posao odvojiti neuspjeh dostupnosti od stvarne neusklađenosti tajne.

Greška izgleda kao povjerenje, ali tri stanja se sliče

Korisnik može da se prijavi keširanim podacima domena, radna stanica možda ne može pronaći kontroler domena, ili se član i domen zaista ne slažu oko računa mašine. Samo je treće pokvaren odnos povjerenja u strogom smislu.

Zdravlje AD replikacije je četvrto zapažanje i uopšte se ne odnosi na ovu radnu stanicu. Ono opisuje saglasnost između kontrolera domena, a zdrav dashboard replikacije ne dokazuje da lokalna tajna ove mašine odgovara njenom računu računara.

Poznati zadani rok od 30 dana je politika promjene, a ne rok isteka van mreže. Microsoftovo objašnjenje lozinke računa mašine opisuje koordinisani proces promjene, a organizacija može konfigurisati drugačiji interval.

VPN ikona ništa ne dokazuje o sigurnom kanalu

Povezivanje mora biti dovoljno dobro da dosegne usluge domena prije nego bilo koji test nešto znači. To znači predviđeni DNS rješavač domena, pronalažljiv kontroler, dostupne usluge provjere identiteta i sat dovoljno blizu za Kerberos.

Puno tuneliranje ovdje može biti potpuno valjan dizajn. Prelazak na podijeljeno tuneliranje nije preduslov za zdrav odnos s domenom, a tretiranje kao da jeste pretvara dijagnozu u promjenu arhitekture. Provjerite koji kontroler radna stanica zaista bira i sačuvajte to ime uz grešku.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Zabilježite DNS server, razriješeni kontroler i tačan tekst greške. VPN klijent koji javlja da je povezan govori vam da tunel postoji, a ne da put do domena radi. Kontroler koji odgovara na Kerberos portu ali ne na portu direktorija nalaz je firewall-a, a ne nalaz povjerenja.

Testirajte člana prije nego ga popravite

Na ovlaštenom Windows članu domena, Test-ComputerSecureChannel -Verbose je provjera kanala između mašine i domena samo za čitanje. Pokrenite je u kontekstu mašine koju istražujete, ne sa kontrolera domena, koji ima drugačiju ulogu i drugačija pravila oporavka. Zabilježite izlaz i izlazni status umjesto riječi prolaz ili pad. Ako cmdlet nedostaje u tom buildu, modul je odvojen problem.

Rezultat i dalje traži kontekst. Ako mašina ne može dosegnuti ili se autentifikovati na izabranom kontroleru, neuspjeli test nije nezavisni dokaz da je lozinka van mreže istekla. Sačuvajte stvarnu grešku i korišteni kontroler i ponovite test kad put bude poznato dobar.

Povežite Netlogon događaje na članu i na relevantnom kontroleru oko incidenta. Sačuvajte ime mašine, izvornu adresu, vrijeme i svaki dokaz promjene računa. Uspješna prijava drugog korisnika ili zdrav dashboard kontrolera ne mogu zamijeniti razmjenu ove mašine.

Popravite samo odnos koji ste dokazali

Kad je povezanost stabilna i administrator potvrdi da je popravka prikladna, -Repair režim cmdleta s ovlaštenim vjerodajnicama jedna je podržana operacija za radnu stanicu člana. On mijenja odnos i nije još jedan test samo za čitanje.

Prije promjene držite dostupan odobreni lokalni račun za oporavak i put upravljanja. Kontroleri domena imaju drugačiju ulogu oporavka i ovaj postupak ne smije ih tretirati kao obične radne stanice. Koristite organizacijski tok oporavka umjesto pokretanja nekoliko alata za reset zaredom i nade da je jedan od njih pravi.

Nakon popravke provjerite novi test sigurnog kanala i izvornu operaciju domena. Sačuvajte korisničke profile i stanje aplikacija, i neka uklanjanje i ponovno pridruživanje ne bude prva neobjašnjena radnja.

Šta provjeriti kad se kvar vrati

Ako se kvar vrati, pogledajte vraćanje unazad, duplirani identitet i vrijeme promjena računa, umjesto da ponovo resetujete isti račun. Vraćena slika, snimka stanja, klonirani identitet mašine ili reset računa računara obavljen negdje drugdje svi zaslužuju istragu.

Privremeno uspješan reset koristan je dokaz oporavka, ali nije dokaz da je isprekidan VPN uzrokovao izvornu neusklađenost. Sljedeća pojava je ta koja vam kaže da li je uzrok ikada uklonjen.

Upišite kontroler, DNS server i izlaz testa u tiket. Taj zapis je ono što razlikuje stvarni neuspjeh povjerenja od laptopa koji jednostavno nije mogao pronaći domen.