Toimialueen luottamus katkesi kuukauden offline-jakson jälkeen? Tarkista ensin

Kannettava tietokone on kuusi viikkoa VPN:n ulkopuolella, palaa, eikä käyttäjä voi kirjautua toimialuetilillä. Virhe mainitsee luottamussuhteen, joten joku nollaa tietokoneen tilin tai pakottaa käyttäjän täystunneliin, ja ongelma näyttää poistuvan. Kumpikaan toimenpide ei todistanut, mikä oli rikki. Windows-jäsen voi olla offline-tilassa selvästi tavallista koneen salasanan väliä pidempään menettämättä luottamusta automaattisesti, joten ensimmäinen tehtävä on erottaa tavoitettavuushäiriö todellisesta salaisuuden erosta.

Virhe näyttää luottamukselta, mutta kolme tilaa muistuttavat toisiaan

Käyttäjä voi kirjautua sisään välimuistiin tallennetuilla toimialuetiedoilla, asema ei ehkä löydä toimialueen ohjainta, tai jäsen ja toimialue voivat todella olla eri mieltä tietokonetilistä. Vain kolmas on rikki mennyt luottamussuhde tiukassa mielessä.

AD-replikoinnin kunto on neljäs havainto, eikä se koske tätä asemaa lainkaan. Se kuvaa toimialueen ohjainten välistä yksimielisyyttä, eikä terve replikointinäkymä todista, että tämän koneen paikallinen salaisuus vastaa sen tietokonetiliä.

Tuttu 30 päivän oletusarvo on muutoksen käytäntö, ei offline-tilassa vanhenemisen määräaika. Microsoftin selitys koneen tilin salasanasta kuvaa koordinoitua muutosprosessia, ja organisaatio voi määrittää eri välin.

VPN-kuvake ei todista suojatusta kanavasta mitään

Yhteyden on oltava riittävän hyvä toimialueen palveluihin pääsemiseksi ennen kuin mikään testi merkitsee mitään. Se tarkoittaa aiottua toimialueen DNS-resolveria, löydettävissä olevaa ohjainta, tavoitettavia todennuspalveluita ja Kerberokselle riittävän lähellä olevaa kelloa.

Täystunneli voi olla tässä täysin kelvollinen ratkaisu. Siirtyminen jaettuun tunneliin ei ole edellytys terveelle toimialuesuhteelle, ja sen pitäminen sellaisena muuttaa diagnoosin arkkitehtuurimuutokseksi. Tarkista, minkä ohjaimen asema todella valitsee, ja säilytä se nimi virheen yhteydessä.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Kirjaa DNS-palvelin, selvitettäväksi saatu ohjain ja virheen tarkka teksti. VPN-asiakas, joka ilmoittaa olevansa yhteydessä, kertoo tunnelin olemassaolosta, ei siitä että toimialueen polku toimii. Ohjain, joka vastaa Kerberos-portissa mutta ei hakemistoportissa, on palomuurilöydös, ei luottamuslöydös.

Testaa jäsen ennen sen korjaamista

Valtuutetulla Windows-toimialueen jäsenellä Test-ComputerSecureChannel -Verbose on vain luku -tarkistus koneen ja toimialueen välisestä kanavasta. Suorita se tutkittavan koneen kontekstissa, älä toimialueen ohjaimelta, jolla on eri rooli ja eri palautussäännöt. Tallenna tuloste ja poistumistila sanan hyväksytty tai hylätty sijaan. Jos cmdlet puuttuu kyseisestä koosteesta, moduuli on erillinen ongelma.

Tulos tarvitsee silti kontekstia. Jos kone ei pääse valittuun ohjaimeen tai ei voi todentaa siihen, epäonnistunut testi ei ole riippumaton todiste siitä, että offline-salasana vanheni. Säilytä todellinen virhe ja käytetty ohjain ja toista testi, kun polku on todistetusti kunnossa.

Korreloi Netlogon-tapahtumat jäsenellä ja asiaankuuluvalla ohjaimella tapauksen ympäriltä. Säilytä koneen nimi, lähdeosoite, aika ja kaikki todisteet tilin muutoksesta. Toisen käyttäjän onnistunut kirjautuminen tai terve ohjaimen näkymä eivät voi korvata tämän koneen vaihtoa.

Korjaa vain se suhde, jonka olet todistanut

Kun yhteys on vakaa ja ylläpitäjä on vahvistanut korjauksen asianmukaiseksi, cmdletin -Repair-tila valtuutetuilla tunnuksilla on yksi tuettu toimenpide jäsenasemalle. Se muuttaa suhdetta, eikä se ole uusi vain luku -testi.

Pidä hyväksytty paikallinen palautustili ja hallintapolku saatavilla ennen muutosta. Toimialueen ohjaimilla on eri palautusrooli, eikä tämä menettely saa kohdella niitä tavallisina asemina. Käytä organisaation palautusprosessia sen sijaan, että ajaisit useita nollaustyökaluja peräkkäin ja toivoisit yhden niistä olevan oikea.

Varmista korjauksen jälkeen uusi suojatun kanavan testi ja alkuperäinen toimialuetoiminto. Säilytä käyttäjäprofiilit ja sovellusten tila, äläkä tee poistamisesta ja uudelleen liittämisestä ensimmäistä selittämätöntä toimenpidettä.

Mitä tarkistaa, kun vika palaa

Jos vika palaa, katso palautusta, päällekkäistä identiteettiä ja tilimuutosten ajoitusta sen sijaan, että nollaisit saman tilin uudelleen. Palautettu levykuva, tilannevedos, kloonattu koneen identiteetti tai muualla tehty tietokonetilin nollaus ansaitsevat kaikki tutkinnan.

Tilapäisesti onnistunut nollaus on hyödyllinen palautustodiste, mutta se ei todista, että ajoittainen VPN aiheutti alkuperäisen eron. Seuraava esiintymä kertoo, poistettiinko syy koskaan.

Kirjoita ohjain, DNS-palvelin ja testin tuloste tikettiin. Juuri se merkintä erottaa todellisen luottamusvian kannettavasta, joka ei yksinkertaisesti löytänyt toimialuetta.