Domäne über ein Benutzer-VPN beitreten und den Neustart überstehen

Eine Domänenaufnahme lässt sich über ein Point-to-Site-VPN durchführen. Was diese Verbindung in der Regel nicht kann: den anschließenden Neustart überstehen, bei dem sich der erste Domänenbenutzer anmeldet. Ich gehe die Aufnahme heute in drei Stufen durch: den Pfad und die Ermittlung nachweisen, solange ein lokaler Administrator angemeldet ist, die Aufnahme ausführen und dann die erste Domänenanmeldung testen, bevor ich das Notebook übergebe. Jede Stufe hat einen Test, der an einer anderen Stelle scheitert.

Die Trennung dieser Stufen verhindert, dass das Projekt mit einem Notebook endet, das erfolgreich beigetreten ist und trotzdem nicht benutzt werden kann.

Vor dem Verbinden: Edition, lokaler Administrator, DNS

Der Rechner braucht eine Edition, die die Domänenaufnahme unterstützt, und einen lokalen Administrator, der dazu berechtigt ist. Das VPN muss in derselben Sitzung aktiv sein, weil die Aufnahme im Sicherheitskontext läuft, den Sie gerade verwenden.

Richten Sie den Client auf den Verzeichnis-DNS der Organisation aus, nicht auf einen öffentlichen Resolver und nicht auf einen Eintrag in der hosts-Datei. Für die Aufnahme muss er Diensteinträge finden und anschließend die Hosts erreichen, die diese Einträge benennen. Ein veraltetes Suffix oder ein öffentlicher Resolver schickt die Ermittlung ganz woandershin.

Prüfen Sie auch die Uhrzeit. Kerberos reagiert empfindlich auf Zeitversatz, und ein Notebook, das einen Monat lang offline war, ist eine häufige Ursache für verwirrende Aufnahmefehler.

Bestätigen Sie, dass die Domäne ermittelbar ist, nicht nur anpingbar

Lösen Sie den LDAP-SRV-Eintrag der Domäne auf, bevor Sie die Aufnahme versuchen. Für eine beispielhafte Umgebung mit einer einzigen Domäne namens ad.corp.example lautet die Abfrage:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Ein zurückgegebener Eintrag ist notwendig, aber nicht ausreichend. Lösen Sie jeden darin aufgeführten DC-Namen auf und bestätigen Sie, dass die benötigten Dienste durch den Tunnel erreichbar sind. Ein Ping auf den Domänennamen beweist für die Ermittlung so gut wie nichts.

Erlauben Sie die dokumentierten AD-Abhängigkeiten: Authentifizierung, SMB- und RPC-Datenverkehr sowie Zeitsynchronisierung. Prüfen Sie jede davon gegen die Firewallregeln, die Sie tatsächlich ausgerollt haben. Das Veröffentlichen von Ports des Domänencontrollers im Internet ist keine erwägenswerte Abkürzung.

Führen Sie die Aufnahme aus und lesen Sie den Fehler

Verwenden Sie den unterstützten Aufnahmebefehl oder den Systemdialog und erfassen Sie den genauen Fehlertext. „Die angegebene Domäne ist entweder nicht vorhanden oder konnte nicht kontaktiert werden“ deutet auf Ermittlung oder Erreichbarkeit hin, nicht auf Anmeldeinformationen.

Wenn bereits ein Objekt mit demselben Namen existiert, löschen Sie es nicht reflexartig. Es kann sich um ein vorab bereitgestelltes Konto handeln, und die Netjoin-Härtung schränkt einige Wiederverwendungsfälle je nach Besitz und Richtlinie ein. Bitten Sie den Verzeichnisinhaber, das Objekt zu prüfen oder zu korrigieren.

Eine erfolgreiche Aufnahme ist der Mittelpunkt, nicht die Ziellinie. Der nächste Schritt ist der, den der Benutzer tatsächlich testet.

Planen Sie die erste Domänenanmeldung

Eine abgeschlossene Aufnahme legt keine zwischengespeicherten Anmeldeinformationen für jeden Domänenbenutzer an. Am ersten Anmeldebildschirm braucht das Notebook einen Pfad zu einem DC, bevor sich irgendein Benutzer angemeldet hat. Wenn Ihr Benutzer-VPN erst nach der Anmeldung startet, fehlt dieser Pfad. Das ist eine Lücke im Entwurf, kein Client-Fehler.

Nutzen Sie einen unterstützten Pre-Logon- oder Geräte-Tunnel-Workflow, einen vorhandenen Standortpfad oder eine genehmigte Alternative für diese erste Anmeldung. Testen Sie dann die gesamte Sequenz: neu starten, den Anmeldebildschirm erreichen, sich als der vorgesehene Domänenbenutzer anmelden und bestätigen, dass sich der Tunnel wie vorgesehen verhält.

Benutzerwechsel und VPN-Persistenz unterscheiden sich je nach Client. Gehen Sie nicht davon aus, dass eine als lokaler Administrator gestartete Verbindung in der Sitzung eines anderen Benutzers weiterbesteht.

Lokalen Wiederherstellungszugang erhalten

Bewahren Sie einen genehmigten lokalen Wiederherstellungspfad, bevor Sie das Notebook übergeben. Wenn die erste Domänenanmeldung fehlschlägt, brauchen Sie einen Weg zurück, der nicht von demselben Tunnel abhängt, der gerade versagt hat.

Schreiben Sie auf, was Sie nachgewiesen haben: SRV-Auflösung, DC-Erreichbarkeit, den Aufnahmefehler, die Methode für die erste Anmeldung und das Wiederherstellungskonto. Dieser Nachweis ist der Unterschied zwischen einem reproduzierbaren Aufbau und einem Notebook, das nur im Büro funktioniert.