Uniu un equip a un domini a través d'una VPN d'usuari i sobreviviu al reinici

Podeu executar una unió al domini a través d'una VPN punt a punt. El que aquesta connexió normalment no pot fer és mantenir-se activa durant el reinici posterior, que és quan el primer usuari de domini intenta iniciar sessió. Ara faig la unió en tres etapes: demostrar el camí i el descobriment mentre hi ha un administrador local amb la sessió iniciada, executar la unió i, després, provar el primer inici de sessió de domini abans de lliurar l'ordinador portàtil. Cada etapa té una prova que falla en un lloc diferent.

Separar aquestes etapes és el que evita que el projecte acabi amb un portàtil que s'ha unit correctament i no es pot fer servir.

Abans de connectar: edició, administrador local, DNS

La màquina necessita una edició que admeti la unió al domini i un administrador local autoritzat a fer-la. La VPN ha d'estar activa en la mateixa sessió, perquè la unió s'executa en el context de seguretat que feu servir.

Apunteu el client al DNS del directori de l'organització, no a un resolutor públic ni a una entrada del fitxer hosts. La unió necessita trobar els registres de servei i després arribar als equips que aquests registres anomenen. Un sufix obsolet o un resolutor públic envien el descobriment a un altre lloc completament.

Reviseu també el rellotge. Kerberos no tolera desviacions horàries, i un portàtil que ha estat un mes sense connexió és una font habitual d'errors d'unió desconcertants.

Confirmeu que el domini es pot descobrir, no només fer-hi ping

Resoleu el registre LDAP SRV del domini abans d'intentar la unió. Per a un entorn il·lustratiu d'un sol domini anomenat ad.corp.example, la consulta és:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Un registre retornat és necessari però no suficient. Resoleu cada nom de DC que enumera i confirmeu que podeu arribar als serveis necessaris a través del túnel. Un ping al nom del domini no demostra gairebé res sobre el descobriment.

Permeteu les dependències d'AD documentades: autenticació, trànsit SMB i RPC, i sincronització horària. Comproveu cadascuna contra les regles de tallafocs que heu desplegat realment. Publicar els ports del controlador de domini a internet no és un atall que valgui la pena considerar.

Executeu la unió i llegiu l'error

Feu servir l'ordre d'unió admesa o el diàleg del sistema i captureu el text exacte de l'error. «El domini especificat no existeix o no s'hi ha pogut contactar» apunta al descobriment o a l'abast, no a les credencials.

Si ja existeix un objecte amb el mateix nom, no el suprimiu per reflex. Pot ser un compte precreat, i l'enduriment de netjoin restringeix alguns casos de reutilització segons la propietat i la política. Demaneu al propietari del directori que inspeccioni o corregeixi l'objecte.

Una unió correcta és el punt mitjà, no la línia d'arribada. La passa següent és la que l'usuari prova de debò.

Planifiqueu el primer inici de sessió de domini

Una unió completada no crea credencials emmagatzemades per a cada usuari de domini. A la primera pantalla d'inici de sessió, el portàtil necessita un camí fins a un DC abans que cap usuari hagi iniciat sessió. Si la vostra VPN d'usuari només arrenca després de l'inici de sessió, aquest camí no hi és. Això és una llacuna de disseny, no un error del client.

Feu servir un flux de treball admès d'abans de l'inici de sessió o de túnel de dispositiu, un camí de seu existent o una alternativa aprovada per a aquest primer inici. Després proveu la seqüència completa: reinicieu, arribeu a la pantalla de credencials, inicieu sessió com l'usuari de domini previst i confirmeu que el túnel es comporta tal com es va dissenyar.

El canvi d'usuari i la persistència de la VPN varien segons el client. No doneu per fet que una connexió iniciada com a administrador local sobreviurà a la sessió d'un altre usuari.

Conserveu l'accés local de recuperació

Preserveu un camí de recuperació local aprovat abans de lliurar el portàtil. Si el primer inici de sessió de domini falla, voleu una manera de tornar-hi que no depengui del mateix túnel que acaba de fallar.

Anoteu què heu demostrat: resolució SRV, abast del DC, l'error d'unió, el mètode del primer inici de sessió i el compte de recuperació. Aquest registre és la diferència entre una construcció reproduïble i un portàtil que només funciona a l'oficina.