Domeinfertrouwen mislearre nei in moanne offline? Kontrolearje earst

In laptop stiet seis wiken bûten de VPN, komt werom, en de brûker kin net oanmelde mei in domeinakkount. De flater neamt in fertrouwensrelaasje, dus immen set it kompjûterakkount werom, of twingt de brûker nei folsleine tunnel, en it probleem liket fuort te gean. Gjin fan beide aksjes bewiisde wat stikken wie. In Windows-lid kin folle langer as it gewoane maskinwachtwurdinterval offline bliuwe sûnder automatysk fertrouwen te ferliezen, dus de earste taak is in berikberensflater te skieden fan in echte geheimôfwiking.

De flater liket op fertrouwen, mar trije tastannen lykje opinoar

In brûker kin oanmelde mei cachede domeinynformaasje, de wurkstasjon kin gjin domeinkontrôler fine, of it lid en it domein kinne it echt net iens wêze oer it kompjûterakkount. Allinnich de tredde is in brutsen fertrouwensrelaasje yn strikte sin.

De sûnens fan AD-replikaasje is in fjirde observaasje, en dy giet hielendal net oer dit wurkstasjon. It beskriuwt iensumens tusken domeinkontrôlers, en in sûn replikaasje-oersjoch bewiist net dat it lokale geheim fan dizze masine by syn kompjûterakkount past.

De bekende standert fan 30 dagen is in wizigingsbelied, net in offline-ferfaldatum. Microsoft syn útlis oer it maskinakkountwachtwurd beskriuwt in koördinearre wizigingsproses, en in organisaasje kin in oar interval ynstelle.

In VPN-ikoan bewiist neat oer it feilige kanaal

De ferbining moat goed genôch wêze om domeintsjinsten te berikken foardat hokker test dan ek eat betsjut. Dat betsjut de bedoelde DNS-resolver fan it domein, in kontrôler dy't te finen is, berikbere autentikaasjetsjinsten en in klok dy't foar Kerberos goed genôch by de tiid is.

Folsleine tunnel kin hjir in folslein jildich ûntwerp wêze. Oerstappen nei split-tunnel is gjin betingst foar in sûne domeinrelaasje, en it behanneljen as ien makket fan in diagnoaze in arsjitektuerwiziging. Kontrolearje hokker kontrôler it wurkstasjon eins kiest, en bewarje dy namme by de flater.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Skriuw de DNS-tsjinner, de oploste kontrôler en de krekte flatertekst op. In VPN-klant dy't seit dat er ferbûn is, fertelt jo dat de tunnel bestiet, net dat it domeinpaad wurket. In kontrôler dy't antwurdet op de Kerberos-poarte mar net op de kataloguspoarte is in fynst fan de brânmuorre, net in fertrouwensfynst.

Test it lid foardat jo it reparearje

Op in autorisearre Windows-domeinlid is Test-ComputerSecureChannel -Verbose in lês-allinnich kontrôle fan it kanaal tusken de masine en it domein. Fierme it út yn de masinekontekst dy't jo ûndersykje, net fan in domeinkontrôler, dy't in oare rol en oare herstelregels hat. Bewarje de útfier en de exitstatus ynstee fan it wurd slagge of mislearre. As de cmdlet yn dy build ûntbrekt, is de module in apart probleem.

It resultaat hat noch kontekst nedich. As de masine de keazen kontrôler net berikke of dêr net autentisearje kin, is in mislearre test gjin selsstannich bewiis dat in offline wachtwurd ferrûn is. Bewarje de echte flater en de brûkte kontrôler, en werhelje de test sadree't it paad bekend goed is.

Korrelearje Netlogon-barrens op it lid en op de oanbelangjende kontrôler rûnom it ynsidint. Bewarje de masinenamme, it boarne-adres, de tiid en elk bewiis fan akkountwiziging. In suksesfolle oanmelding fan in oare brûker, of in sûn kontrôler-oersjoch, kin de útwikseling fan dizze masine net ferfange.

Reparearje allinnich de relaasje dy't jo bewiisd hawwe

As de ferbining stabyl is en in behearder befêstige hat dat in reparaasje passend is, is de -Repair-modus fan de cmdlet mei autorisearre credentials ien stipe operaasje foar in lid-wurkstasjon. It feroaret de relaasje, en it is gjin nije lês-allinnich test.

Hâld in goedkard lokaal herstelakkount en in behearpaad beskikber foar de wiziging. Domeinkontrôlers hawwe in oare herstelrol en meie troch dizze proseduere net as gewoane wurkstasjons behannele wurde. Brûk de herstelwurkstream fan de organisaasje ynstee fan ferskate weromsetark boppe-oan te rinnen en te hoopjen dat ien fan har de goede is.

Nei de reparaasje, ferifiearje in nije test fan it feilige kanaal en de oarspronklike domeinoperaasje. Bewarje brûkersprofylen en applikaasjetastân, en meitsje fan fuorthelje-en-werom oanslute net de earste ûnferklearre aksje.

Wat te kontrolearjen as de flater weromkomt

As de flater weromkomt, sjoch dan nei weromdraaie, dûbele identiteit en de timing fan akkountwizigings ynstee fan itselde akkount wer werom te setten. In wersteld byld, in snapshot, in kloande masine-identiteit of in kompjûterakkount-weromset dat earne oars dien is, fertsjinje allegear ûndersyk.

In tydlik suksesfolle weromset is nuttich herstelbewiis, mar it is gjin bewiis dat in ûnregelmjittige VPN de oarspronklike ôfwiking feroarsake. It folgjende gefal is dejinge dy't jo fertelt oft de oarsaak ea fuorthelle is.

Skriuw de kontrôler, de DNS-tsjinner en de testútfier yn it ticket. Dat rekord is wat in echte fertrouwensflater ûnderskiedt fan in laptop dy't gewoan it domein net fine koe.