Απέτυχε η εμπιστοσύνη τομέα μετά από ένα μήνα εκτός σύνδεσης; Ελέγξτε πρώτα

Ένας φορητός υπολογιστής μένει εκτός VPN για έξι εβδομάδες, επιστρέφει, και ο χρήστης δεν μπορεί να συνδεθεί με λογαριασμό τομέα. Το σφάλμα αναφέρει σχέση εμπιστοσύνης, οπότε κάποιος επαναφέρει τον λογαριασμό υπολογιστή ή εξαναγκάζει τον χρήστη σε πλήρη σήραγγα, και το πρόβλημα φαίνεται να εξαφανίζεται. Καμία από τις δύο ενέργειες δεν απέδειξε τι ήταν χαλασμένο. Ένα μέλος Windows μπορεί να μείνει εκτός σύνδεσης πολύ πέρα από το συνηθισμένο διάστημα κωδικού της μηχανής χωρίς να χάσει αυτόματα την εμπιστοσύνη, οπότε η πρώτη δουλειά είναι να διαχωριστεί μια αποτυχία προσβασιμότητας από μια πραγματική ασυμφωνία μυστικού.

Το σφάλμα μοιάζει με εμπιστοσύνη, αλλά τρεις καταστάσεις μοιάζουν

Ένας χρήστης μπορεί να συνδεθεί με αποθηκευμένες πληροφορίες τομέα, ο σταθμός εργασίας μπορεί να μην εντοπίζει ελεγκτή τομέα, ή το μέλος και ο τομέας μπορεί να διαφωνούν πραγματικά για τον λογαριασμό υπολογιστή. Μόνο η τρίτη είναι σπασμένη σχέση εμπιστοσύνης με τη στενή έννοια.

Η υγεία της αντιγραφής AD είναι μια τέταρτη παρατήρηση και δεν αφορά καθόλου αυτόν τον σταθμό εργασίας. Περιγράφει τη συμφωνία μεταξύ ελεγκτών τομέα, και ένας υγιής πίνακας αντιγραφής δεν αποδεικνύει ότι το τοπικό μυστικό αυτής της μηχανής ταιριάζει με τον λογαριασμό υπολογιστή της.

Η γνωστή προεπιλογή των 30 ημερών είναι πολιτική αλλαγής, όχι προθεσμία λήξης εκτός σύνδεσης. Η εξήγηση της Microsoft για τον κωδικό του λογαριασμού μηχανής περιγράφει μια συντονισμένη διαδικασία αλλαγής, και ένας οργανισμός μπορεί να ρυθμίσει διαφορετικό διάστημα.

Ένα εικονίδιο VPN δεν αποδεικνύει τίποτα για το ασφαλές κανάλι

Η συνδεσιμότητα πρέπει να είναι αρκετά καλή ώστε να φτάνει στις υπηρεσίες τομέα πριν σημαίνει κάτι οποιαδήποτε δοκιμή. Αυτό σημαίνει τον προβλεπόμενο resolver DNS του τομέα, έναν ελεγκτή που εντοπίζεται, προσβάσιμες υπηρεσίες ελέγχου ταυτότητας και ένα ρολόι αρκετά κοντά για το Kerberos.

Η πλήρης σήραγγα μπορεί να είναι απολύτως έγκυρος σχεδιασμός εδώ. Η μετάβαση σε διαχωρισμένη σήραγγα δεν είναι προϋπόθεση για υγιή σχέση τομέα, και η αντιμετώπισή της ως τέτοιας μετατρέπει μια διάγνωση σε αλλαγή αρχιτεκτονικής. Ελέγξτε ποιον ελεγκτή επιλέγει στην πραγματικότητα ο σταθμός εργασίας και κρατήστε αυτό το όνομα μαζί με το σφάλμα.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Καταγράψτε τον διακομιστή DNS, τον ελεγκτή που επιλύθηκε και το ακριβές κείμενο του σφάλματος. Ένας πελάτης VPN που αναφέρει σύνδεση σας λέει ότι η σήραγγα υπάρχει, όχι ότι λειτουργεί η διαδρομή προς τον τομέα. Ένας ελεγκτής που απαντά στη θύρα Kerberos αλλά όχι στη θύρα καταλόγου είναι εύρημα τείχους προστασίας, όχι εύρημα εμπιστοσύνης.

Δοκιμάστε το μέλος πριν το επισκευάσετε

Σε ένα εξουσιοδοτημένο μέλος τομέα Windows, το Test-ComputerSecureChannel -Verbose είναι έλεγχος μόνο ανάγνωσης του καναλιού μεταξύ της μηχανής και του τομέα. Εκτελέστε το στο περιβάλλον της μηχανής που ερευνάτε, όχι από ελεγκτή τομέα, που έχει διαφορετικό ρόλο και διαφορετικούς κανόνες ανάκτησης. Καταγράψτε την έξοδο και την κατάσταση εξόδου αντί για τη λέξη πέρασε ή απέτυχε. Αν το cmdlet λείπει σε αυτή την έκδοση, η μονάδα είναι ξεχωριστό πρόβλημα.

Το αποτέλεσμα χρειάζεται ακόμη περιβάλλον. Αν η μηχανή δεν μπορεί να φτάσει ή να πιστοποιηθεί στον επιλεγμένο ελεγκτή, μια αποτυχημένη δοκιμή δεν είναι ανεξάρτητη απόδειξη ότι ένας κωδικός εκτός σύνδεσης έληξε. Κρατήστε το πραγματικό σφάλμα και τον ελεγκτή που χρησιμοποιήθηκε, και επαναλάβετε τη δοκιμή μόλις η διαδρομή είναι γνωστά καλή.

Συσχετίστε συμβάντα Netlogon στο μέλος και στον σχετικό ελεγκτή γύρω από το περιστατικό. Διατηρήστε το όνομα της μηχανής, τη διεύθυνση προέλευσης, την ώρα και οποιαδήποτε απόδειξη αλλαγής λογαριασμού. Η επιτυχής σύνδεση άλλου χρήστη ή ένας υγιής πίνακας ελεγκτή δεν μπορούν να αντικαταστήσουν την ανταλλαγή αυτής της μηχανής.

Επισκευάστε μόνο τη σχέση που αποδείξατε

Μόλις η συνδεσιμότητα είναι σταθερή και ένας διαχειριστής επιβεβαιώσει ότι η επισκευή είναι κατάλληλη, η λειτουργία -Repair του cmdlet με εξουσιοδοτημένα διαπιστευτήρια είναι μία υποστηριζόμενη ενέργεια για σταθμό εργασίας-μέλος. Αλλάζει τη σχέση και δεν είναι άλλη μια δοκιμή μόνο ανάγνωσης.

Κρατήστε διαθέσιμο ένα εγκεκριμένο τοπικό λογαριασμό ανάκτησης και μια διαδρομή διαχείρισης πριν την αλλαγή. Οι ελεγκτές τομέα έχουν διαφορετικό ρόλο ανάκτησης και δεν πρέπει να αντιμετωπίζονται ως συνηθισμένοι σταθμοί εργασίας από αυτή τη διαδικασία. Χρησιμοποιήστε τη ροή εργασίας ανάκτησης του οργανισμού αντί να εκτελείτε διαδοχικά πολλά εργαλεία επαναφοράς ελπίζοντας ότι ένα από αυτά είναι το σωστό.

Μετά την επισκευή, επαληθεύστε μια νέα δοκιμή του ασφαλούς καναλιού και την αρχική λειτουργία τομέα. Διατηρήστε τα προφίλ χρηστών και την κατάσταση των εφαρμογών, και μην κάνετε την αφαίρεση και επανένταξη την πρώτη ανεξήγητη ενέργεια.

Τι να ελέγξετε όταν η αποτυχία επιστρέψει

Αν η αποτυχία επιστρέψει, κοιτάξτε την επαναφορά, τη διπλή ταυτότητα και τον χρόνο των αλλαγών λογαριασμού αντί να επαναφέρετε ξανά τον ίδιο λογαριασμό. Μια επαναφερμένη εικόνα, ένα snapshot, μια κλωνοποιημένη ταυτότητα μηχανής ή μια επαναφορά λογαριασμού υπολογιστή που έγινε αλλού αξίζουν όλα έρευνα.

Μια προσωρινά επιτυχής επαναφορά είναι χρήσιμη απόδειξη ανάκτησης, αλλά δεν είναι απόδειξη ότι ένα διακοπτόμενο VPN προκάλεσε την αρχική ασυμφωνία. Η επόμενη εμφάνιση είναι αυτή που σας λέει αν η αιτία αφαιρέθηκε ποτέ.

Γράψτε τον ελεγκτή, τον διακομιστή DNS και την έξοδο της δοκιμής στο δελτίο. Αυτό το αρχείο είναι που ξεχωρίζει μια πραγματική αποτυχία εμπιστοσύνης από έναν φορητό υπολογιστή που απλώς δεν μπορούσε να βρει τον τομέα.