Σύνδεση σε τομέα μέσω VPN χρήστη και επιβίωση μετά την επανεκκίνηση

Μπορείτε να εκτελέσετε σύνδεση σε τομέα μέσω VPN σημείου προς τοποθεσία. Αυτό που συνήθως δεν μπορεί να κάνει αυτή η σύνδεση είναι να παραμείνει ενεργή κατά την επανεκκίνηση που ακολουθεί, όταν ο πρώτος χρήστης τομέα προσπαθεί να συνδεθεί. Περνώ τώρα τη σύνδεση σε τρία στάδια: απόδειξη της διαδρομής και της ανακάλυψης όσο είναι συνδεδεμένος ένας τοπικός διαχειριστής, εκτέλεση της σύνδεσης και έπειτα δοκιμή της πρώτης σύνδεσης τομέα πριν παραδώσω τον φορητό υπολογιστή. Κάθε στάδιο έχει μια δοκιμή που αποτυγχάνει σε διαφορετικό σημείο.

Ο διαχωρισμός αυτών των σταδίων είναι αυτό που εμποδίζει το έργο να καταλήξει με φορητό υπολογιστή που συνδέθηκε επιτυχώς και δεν μπορεί να χρησιμοποιηθεί.

Πριν συνδεθείτε: έκδοση, τοπικός διαχειριστής, DNS

Ο υπολογιστής χρειάζεται μια έκδοση που υποστηρίζει σύνδεση σε τομέα και έναν τοπικό διαχειριστή που είναι εξουσιοδοτημένος να την εκτελέσει. Το VPN πρέπει να είναι ενεργό στην ίδια συνεδρία, επειδή η σύνδεση εκτελείται στο περιβάλλον ασφαλείας που χρησιμοποιείτε.

Στρέψτε τον πελάτη στο DNS του καταλόγου του οργανισμού, όχι σε δημόσιο resolver και όχι σε καταχώριση στο αρχείο hosts. Η σύνδεση χρειάζεται να βρει τις εγγραφές υπηρεσίας και μετά να φτάσει στους κεντρικούς υπολογιστές που ονομάζουν αυτές οι εγγραφές. Ένα παρωχημένο επίθημα ή ένας δημόσιος resolver στέλνουν την ανακάλυψη εντελώς αλλού.

Ελέγξτε και το ρολόι. Το Kerberos δεν ανέχεται απόκλιση χρόνου, και ένας φορητός που ήταν εκτός σύνδεσης για ένα μήνα είναι συχνή πηγή μπερδεμένων σφαλμάτων σύνδεσης.

Επιβεβαιώστε ότι ο τομέας ανακαλύπτεται, δεν γίνεται μόνο ping

Επιλύστε την εγγραφή LDAP SRV του τομέα πριν επιχειρήσετε τη σύνδεση. Για ένα ενδεικτικό περιβάλλον ενός τομέα με όνομα ad.corp.example, το ερώτημα είναι:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Μια εγγραφή που επιστρέφεται είναι απαραίτητη αλλά όχι αρκετή. Επιλύστε κάθε όνομα DC που απαριθμεί και επιβεβαιώστε ότι μπορείτε να φτάσετε στις απαιτούμενες υπηρεσίες μέσω της σήραγγας. Ένα ping στο όνομα του τομέα δεν αποδεικνύει σχεδόν τίποτα για την ανακάλυψη.

Επιτρέψτε τις τεκμηριωμένες εξαρτήσεις του AD: έλεγχο ταυτότητας, κίνηση SMB και RPC, καθώς και συγχρονισμό ώρας. Ελέγξτε καθεμία από αυτές ως προς τους κανόνες τείχους προστασίας που όντως αναπτύξατε. Η δημοσίευση θυρών του ελεγκτή τομέα στο διαδίκτυο δεν είναι μια συντόμευση που αξίζει να εξεταστεί.

Εκτελέστε τη σύνδεση και διαβάστε το σφάλμα

Χρησιμοποιήστε την υποστηριζόμενη εντολή σύνδεσης ή τον διάλογο του συστήματος και καταγράψτε το ακριβές κείμενο του σφάλματος. Το «Ο καθορισμένος τομέας είτε δεν υπάρχει είτε δεν ήταν δυνατή η επικοινωνία μαζί του» δείχνει ανακάλυψη ή προσβασιμότητα, όχι διαπιστευτήρια.

Αν υπάρχει ήδη αντικείμενο με το ίδιο όνομα, μην το διαγράψετε αντανακλαστικά. Μπορεί να είναι προπαρασκευασμένος λογαριασμός, και η σκλήρυνση netjoin περιορίζει ορισμένες περιπτώσεις επαναχρησιμοποίησης ανάλογα με την ιδιοκτησία και την πολιτική. Ζητήστε από τον ιδιοκτήτη του καταλόγου να ελέγξει ή να διορθώσει το αντικείμενο.

Μια επιτυχής σύνδεση είναι το μέσο, όχι η γραμμή τερματισμού. Το επόμενο βήμα είναι αυτό που δοκιμάζει πραγματικά ο χρήστης.

Σχεδιάστε την πρώτη σύνδεση τομέα

Μια ολοκληρωμένη σύνδεση δεν δημιουργεί αποθηκευμένα διαπιστευτήρια για κάθε χρήστη τομέα. Στην πρώτη οθόνη σύνδεσης, ο φορητός χρειάζεται μια διαδρομή προς έναν DC πριν συνδεθεί οποιοσδήποτε χρήστης. Αν το VPN χρήστη ξεκινά μόνο μετά τη σύνδεση, αυτή η διαδρομή λείπει. Αυτό είναι κενό σχεδίασης, όχι σφάλμα πελάτη.

Χρησιμοποιήστε μια υποστηριζόμενη ροή εργασίας πριν τη σύνδεση ή σήραγγας συσκευής, μια υπάρχουσα διαδρομή τοποθεσίας ή μια εγκεκριμένη εναλλακτική για εκείνη την πρώτη σύνδεση. Έπειτα δοκιμάστε ολόκληρη την ακολουθία: επανεκκινήστε, φτάστε στην οθόνη διαπιστευτηρίων, συνδεθείτε ως ο προβλεπόμενος χρήστης τομέα και επιβεβαιώστε ότι η σήραγγα συμπεριφέρεται όπως σχεδιάστηκε.

Η εναλλαγή χρηστών και η επιμονή του VPN διαφέρουν ανά πελάτη. Μην υποθέσετε ότι μια σύνδεση που ξεκίνησε ως τοπικός διαχειριστής θα επιβιώσει στη συνεδρία άλλου χρήστη.

Διατηρήστε τοπική πρόσβαση ανάκτησης

Διατηρήστε μια εγκεκριμένη τοπική διαδρομή ανάκτησης πριν παραδώσετε τον φορητό. Αν η πρώτη σύνδεση τομέα αποτύχει, θέλετε έναν τρόπο επιστροφής που δεν εξαρτάται από την ίδια σήραγγα που μόλις απέτυχε.

Καταγράψτε τι αποδείξατε: επίλυση SRV, προσβασιμότητα DC, το σφάλμα σύνδεσης, τη μέθοδο της πρώτης σύνδεσης και τον λογαριασμό ανάκτησης. Αυτή η καταγραφή είναι η διαφορά ανάμεσα σε μια αναπαραγώγιμη κατασκευή και έναν φορητό που λειτουργεί μόνο στο γραφείο.