Pridružite se domenu preko korisničkog VPN-a, pa preživite ponovno pokretanje

Pridruživanje domenu možete izvesti preko VPN-a od tačke do lokacije. Ono što ta veza obično ne može jest da ostane uspostavljena tokom ponovnog pokretanja koje slijedi, kada prvi korisnik domena pokušava da se prijavi. Sada prolazim kroz pridruživanje u tri faze: dokazujem putanju i otkrivanje dok je prijavljen lokalni administrator, izvodim pridruživanje, a zatim testiram prvu prijavu na domen prije nego što predam laptop. Svaka faza ima test koji pada na drugom mjestu.

Razdvajanje tih faza je ono što sprječava da projekat završi laptopom koji se uspješno pridružio i ne može se koristiti.

Prije povezivanja: izdanje, lokalni administrator, DNS

Računaru je potrebno izdanje koje podržava pridruživanje domenu i lokalni administrator ovlašten da to izvede. VPN mora biti aktivan u istoj sesiji, jer se pridruživanje izvodi u sigurnosnom kontekstu koji koristite.

Usmjerite klijenta na DNS imenik organizacije, a ne na javni resolver i ne na unos u hosts datoteci. Za pridruživanje je potrebno pronaći zapise usluga i zatim doći do hostova koje ti zapisi označavaju. Zastario sufiks ili javni resolver odvode otkrivanje sasvim drugdje.

Provjerite i sat. Kerberos ne prašta razliku u vremenu, a laptop koji je bio mjesec dana van mreže čest je izvor zbunjujućih grešaka pri pridruživanju.

Potvrdite da se domen može otkriti, a ne samo pingovati

Riješite LDAP SRV zapis domena prije nego što pokušate pridruživanje. Za ilustrativno okruženje s jednim domenom nazvanim ad.corp.example, upit je:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Vraćeni zapis je neophodan, ali nije dovoljan. Riješite svako navedeno ime DC-a i potvrdite da potrebne usluge možete dosegnuti kroz tunel. Ping na ime domena ne dokazuje gotovo ništa o otkrivanju.

Dozvolite dokumentovane zavisnosti AD-a: autentifikaciju, SMB i RPC saobraćaj, te sinhronizaciju vremena. Provjerite svaku prema pravilima firewall-a koja ste stvarno primijenili. Objavljivanje portova kontrolera domena na internetu nije prečica vrijedna razmatranja.

Izvedite pridruživanje i pročitajte grešku

Koristite podržanu komandu za pridruživanje ili sistemski dijalog i zabilježite tačan tekst greške. „Navedeni domen ili ne postoji ili mu se nije moglo pristupiti“ ukazuje na otkrivanje ili dostupnost, a ne na akreditive.

Ako objekat s istim imenom već postoji, ne brišite ga refleksno. To može biti unaprijed pripremljen račun, a netjoin ojačavanje ograničava neke slučajeve ponovne upotrebe prema vlasništvu i politici. Zamolite vlasnika imenika da pregleda ili ispravi objekat.

Uspješno pridruživanje je sredina, a ne ciljna linija. Sljedeći korak je onaj koji korisnik zaista testira.

Isplanirajte prvu prijavu na domen

Završeno pridruživanje ne stvara keširane akreditive za svakog korisnika domena. Na prvom ekranu za prijavu laptopu je potrebna putanja do DC-a prije nego što se bilo koji korisnik prijavio. Ako vaš korisnički VPN počinje tek nakon prijave, ta putanja nedostaje. To je praznina u dizajnu, a ne greška klijenta.

Koristite podržani tok prijave prije prijave ili tunel uređaja, postojeću putanju lokacije ili odobrenu alternativu za tu prvu prijavu. Zatim testirajte cijeli niz: ponovo pokrenite, dođite do ekrana za akreditive, prijavite se kao predviđeni korisnik domena i potvrdite da se tunel ponaša kako je predviđeno.

Prebacivanje korisnika i postojanost VPN-a razlikuju se od klijenta do klijenta. Ne pretpostavljajte da će veza započeta kao lokalni administrator preživjeti u sesiji drugog korisnika.

Sačuvajte lokalni pristup za oporavak

Sačuvajte odobrenu lokalnu putanju oporavka prije nego što predate laptop. Ako prva prijava na domen ne uspije, želite način da se vratite koji ne zavisi od istog tunela koji je upravo zakazao.

Zapišite šta ste dokazali: SRV razrješavanje, dostupnost DC-a, grešku pri pridruživanju, metodu prve prijave i račun za oporavak. Taj zapis je razlika između ponovljive izgradnje i laptopa koji radi samo u kancelariji.