Liitu domeeniga üle kasutaja-VPN-i ja jää taaskäivitusest ellu

Domeeniga liitumist saab teha punkt-punkti VPN-i kaudu. Mida see ühendus tavaliselt ei suuda, on püsida ühendatud järgneva taaskäivituse ajal, mil esimene domeeni kasutaja proovib sisse logida. Käin liitumise nüüd läbi kolmes etapis: tõestan tee ja avastamise, kuni kohalik administraator on sisse loginud, teen liitumise ja seejärel testin esimest domeeni sisselogimist enne sülearvuti üleandmist. Igal etapil on test, mis ebaõnnestub erinevas kohas.

Nende etappide eraldamine hoiab ära selle, et projekt lõpeb sülearvutiga, mis liitus edukalt ja mida ei saa kasutada.

Enne ühendamist: väljaanne, kohalik administraator, DNS

Masin vajab väljaannet, mis toetab domeeniga liitumist, ja kohalikku administraatorit, kes on selleks volitatud. VPN peab olema üles samas seansis, sest liitumine töötab turvakontekstis, mida te kasutate.

Suunake klient organisatsiooni kataloogi DNS-ile, mitte avalikule resolverile ja mitte hosts-faili kirjele. Liitumine peab leidma teenusekirjed ja seejärel jõudma hostideni, mida need kirjed nimetavad. Aegunud sufiks või avalik resolver saadavad avastamise hoopis mujale.

Kontrollige ka kella. Kerberos ei andesta aja nihet ja kuu aega võrguühenduseta olnud sülearvuti on tavaline segadust tekitavate liitumisvigade allikas.

Kinnitage, et domeen on avastatav, mitte ainult pingitav

Lahendage domeeni LDAP SRV-kirje enne liitumise proovimist. Näidisliku ühe domeeniga keskkonna jaoks nimega ad.corp.example on päring järgmine:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Tagastatud kirje on vajalik, kuid mitte piisav. Lahendage iga loetletud DC nimi ja kinnitage, et pääsete vajalike teenusteni tunnelis. Ping domeeni nimele ei tõesta avastamise kohta peaaegu midagi.

Lubage dokumenteeritud AD-sõltuvused: autentimine, SMB- ja RPC-liiklus ning aja sünkroonimine. Kontrollige igaüht tegelikult juurutatud tulemüürireeglite vastu. Domeenikontrolleri portide avalikustamine internetti ei ole kaalumist väärt otsetee.

Tehke liitumine ja lugege viga

Kasutage toetatud liitumiskäsku või süsteemidialoogi ja salvestage täpne veatekst. „Määratud domeeni kas ei ole olemas või ei saanud sellega ühendust“ viitab avastamisele või kättesaadavusele, mitte mandaatidele.

Kui sama nimega objekt on juba olemas, ärge kustutage seda refleksina. See võib olla eelnevalt ettevalmistatud konto ja netjoin-i karastamine piirab mõningaid korduskasutuse juhtumeid sõltuvalt omandist ja poliitikast. Paluge kataloogi omanikul objekt üle vaadata või parandada.

Edukas liitumine on keskpunkt, mitte finišijoon. Järgmine samm on see, mida kasutaja tegelikult testib.

Planeerige esimene domeeni sisselogimine

Lõpetatud liitumine ei loo vahemällu salvestatud mandaate iga domeeni kasutaja jaoks. Esimesel sisselogimisekraanil vajab sülearvuti teed DC-ni enne, kui ükski kasutaja on sisse loginud. Kui teie kasutaja-VPN käivitub alles pärast sisselogimist, on see tee puudu. See on projekteerimislünk, mitte kliendi viga.

Kasutage toetatud enne-sisselogimise või seadme tunneli töövoogu, olemasolevat saiditeed või heakskiidetud alternatiivi selle esimese sisselogimise jaoks. Seejärel testige kogu jada: taaskäivitage, jõudke mandaadiekraanile, logige sisse kavandatud domeeni kasutajana ja kinnitage, et tunnel käitub nii, nagu projekteeritud.

Kasutajavahetus ja VPN-i püsivus erinevad klienditi. Ärge eeldage, et kohaliku administraatorina alustatud ühendus jääb teise kasutaja seansi püsima.

Säilitage kohalik taastamisjuurdepääs

Säilitage heakskiidetud kohalik taastamistee enne sülearvuti üleandmist. Kui esimene domeeni sisselogimine ebaõnnestub, tahate tagasiteed, mis ei sõltu samast tunnelist, mis just ebaõnnestus.

Kirjutage üles, mida tõestasite: SRV lahendamine, DC kättesaadavus, liitumisviga, esimese sisselogimise meetod ja taastamiskonto. See kirje on erinevus korratava ülesehituse ja sülearvuti vahel, mis töötab ainult kontoris.