Domeeni usaldus kadus kuu aja järel võrguühenduseta? Kontrollige kõigepealt

Sülearvuti on kuus nädalat VPN-ist väljas, tuleb tagasi ja kasutaja ei saa domeeni kontoga sisse logida. Viga mainib usaldussuhet, nii et keegi lähtestab arvuti konto või sunnib kasutaja täistunnelisse, ja probleem näib kaduvat. Kumbki tegevus ei tõestanud, mis oli katki. Windowsi liige võib jääda võrguühenduseta kauemaks kui tavaline masina parooli intervall, ilma et usaldus automaatselt kaoks, seega on esimene ülesanne eraldada kättesaadavuse tõrge tegelikust saladuse lahknevusest.

Viga näeb välja nagu usaldus, kuid kolm olekut sarnanevad

Kasutaja võib sisse logida vahemällu salvestatud domeeniandmetega, tööjaam ei pruugi domeeni juhtimiskontrollerit leida, või liige ja domeen võivad arvutikonto osas tõesti eriarvamusel olla. Ainult kolmas on rangelt võttes katkenud usaldussuhe.

AD-replikatsiooni tervis on neljas tähelepanek ja see ei puuduta seda tööjaama üldse. See kirjeldab domeeni juhtimiskontrollerite vahelist üksmeelt ja terve replikatsiooni armatuurlaud ei tõesta, et selle masina kohalik saladus vastab tema arvutikontole.

Tuttav 30-päevane vaikeväärtus on muutmispoliitika, mitte võrguühenduseta aegumise tähtaeg. Microsofti masinakonto parooli selgitus kirjeldab koordineeritud muutmisprotsessi ja organisatsioon saab määrata teistsuguse intervalli.

VPN-i ikoon ei tõesta turvalise kanali kohta midagi

Ühenduvus peab olema piisavalt hea, et jõuda domeeni teenusteni, enne kui mis tahes test midagi tähendab. See tähendab ettenähtud domeeni DNS-i resolverit, leitavat juhtimiskontrollerit, kättesaadavaid autentimisteenuseid ja Kerberose jaoks piisavalt lähedast kella.

Täistunnel võib siin olla täiesti kehtiv lahendus. Üleminek jaotatud tunnelile ei ole terve domeenisuhte eeltingimus ja selle eeltingimusena käsitlemine muudab diagnoosi arhitektuurimuudatuseks. Kontrollige, millise juhtimiskontrolleri tööjaam tegelikult valib, ja hoidke see nimi vea juures.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Kirjutage üles DNS-server, lahendatud juhtimiskontroller ja täpne veatekst. VPN-klient, mis teatab ühendusest, ütleb teile, et tunnel on olemas, mitte et domeeni teekond töötab. Juhtimiskontroller, mis vastab Kerberose pordil, kuid mitte kataloogi pordil, on tulemüüri leid, mitte usalduse leid.

Testige liiget enne selle parandamist

Autoriseeritud Windowsi domeeni liikmel on Test-ComputerSecureChannel -Verbose masina ja domeeni vahelise kanali ainult lugemiseks mõeldud kontroll. Käivitage see masina kontekstis, mida uurite, mitte domeeni juhtimiskontrollerilt, millel on teine roll ja teised taastamise reeglid. Salvestage väljund ja väljumisolek, mitte sõna läbitud või ebaõnnestunud. Kui cmdlet selles buildis puudub, on moodul eraldi probleem.

Tulemus vajab endiselt konteksti. Kui masin ei saa valitud juhtimiskontrollerini jõuda ega seal autentida, ei ole ebaõnnestunud test sõltumatu tõestus, et võrguühenduseta parool aegus. Hoidke tegelik viga ja kasutatud juhtimiskontroller, ja korrake testi, kui teekond on teadaolevalt korras.

Korreleerige Netlogoni sündmusi liikmel ja asjaomasel juhtimiskontrolleril juhtumi ümbruses. Säilitage masina nimi, lähteaadress, aeg ja kõik konto muutmise tõendid. Teise kasutaja edukas sisselogimine või terve juhtimiskontrolleri armatuurlaud ei saa asendada selle masina vahetust.

Parandage ainult see suhe, mille te tõestasite

Kui ühenduvus on stabiilne ja administraator on kinnitanud, et parandus on asjakohane, on cmdleti -Repair režiim volitatud mandaatidega liikme tööjaama jaoks üks toetatud toiming. See muudab suhet ja ei ole veel üks ainult lugemiseks mõeldud test.

Enne muudatust hoidke käepärast kinnitatud kohalik taastamiskonto ja haldustee. Domeeni juhtimiskontrolleritel on teistsugune taastamise roll ja see protseduur ei tohi neid kohelda tavaliste tööjaamadena. Kasutage organisatsiooni taastamisvoogu, selle asemel et käivitada järjest mitut lähtestamisvahendit ja loota, et üks neist on õige.

Pärast parandust kontrollige uut turvalise kanali testi ja algset domeenitoimingut. Säilitage kasutajaprofiilid ja rakenduse olek ning ärge tehke eemaldamist ja uuesti liitmist esimeseks seletamata toiminguks.

Mida kontrollida, kui tõrge naaseb

Kui tõrge naaseb, vaadake tagasipööramist, dubleeritud identiteeti ja kontomuudatuste ajastust, selle asemel et sama kontot uuesti lähtestada. Taastatud kujutis, hetktõmmis, kloonitud masina identiteet või mujal tehtud arvutikonto lähtestamine kõik väärib uurimist.

Ajutiselt edukas lähtestamine on kasulik taastamise tõend, kuid see ei tõesta, et katkendlik VPN põhjustas algse lahknevuse. Järgmine juhtum on see, mis ütleb teile, kas põhjus üldse kõrvaldati.

Kirjutage juhtimiskontroller, DNS-server ja testi väljund piletisse. Just see kirje eristab tegelikku usalduse tõrget sülearvutist, mis lihtsalt ei suutnud domeeni leida.