Unir un equipo a un dominio por unha VPN de usuario e sobrevivir ao reinicio

Pode executar unha unión ao dominio a través dunha VPN de punto a sitio. O que esa conexión normalmente non pode facer é manterse activa durante o reinicio posterior, que é cando o primeiro usuario de dominio tenta iniciar sesión. Agora percorro a unión en tres etapas: demostrar a ruta e o descubrimento mentres hai un administrador local con sesión iniciada, executar a unión e, despois, probar o primeiro inicio de sesión de dominio antes de entregar o portátil. Cada etapa ten unha proba que falla nun lugar distinto.

Separar esas etapas é o que evita que o proxecto remate cun portátil que se uniu correctamente e non se pode usar.

Antes de conectar: edición, administrador local, DNS

A máquina necesita unha edición que admita a unión ao dominio e un administrador local autorizado a realizala. A VPN debe estar activa nesa mesma sesión, porque a unión execútase no contexto de seguridade que está a utilizar.

Apunte o cliente ao DNS do directorio da organización, non a un resolvedor público nin a unha entrada do ficheiro hosts. A unión necesita atopar os rexistros de servizo e despois chegar aos equipos que eses rexistros nomean. Un sufixo obsoleto ou un resolvedor público envían o descubrimento a outro lugar por completo.

Revise tamén o reloxo. Kerberos non tolera desviacións horarias, e un portátil que estivo un mes sen conexión é unha fonte habitual de erros de unión desconcertantes.

Confirme que o dominio se pode descubrir, non só facer ping

Resolva o rexistro LDAP SRV do dominio antes de intentar a unión. Para un contorno ilustrativo dun só dominio chamado ad.corp.example, a consulta é:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Un rexistro devolto é necesario pero non suficiente. Resolva cada nome de DC que enumera e confirme que pode chegar aos servizos necesarios a través do túnel. Un ping ao nome do dominio non demostra case nada sobre o descubrimento.

Permita as dependencias de AD documentadas: autenticación, tráfico SMB e RPC, ademais de sincronización horaria. Comprobe cada unha contra as regras de firewall que despregou realmente. Publicar os portos do controlador de dominio en internet non é un atallo que mereza a pena considerar.

Execute a unión e lea o erro

Use o comando de unión admitido ou o diálogo do sistema e capture o texto exacto do erro. «O dominio especificado non existe ou non se puido contactar con el» apunta ao descubrimento ou á accesibilidade, non ás credenciais.

Se xa existe un obxecto co mesmo nome, non o elimine por reflexo. Pode ser unha conta precreada, e o endurecemento de netjoin restrinxe algúns casos de reutilización segundo a propiedade e a política. Pida ao propietario do directorio que inspeccione ou corrixa o obxecto.

Unha unión correcta é o punto medio, non a meta. O seguinte paso é o que o usuario proba de verdade.

Planifique o primeiro inicio de sesión de dominio

Unha unión completada non crea credenciais almacenadas na caché para cada usuario de dominio. Na primeira pantalla de inicio de sesión, o portátil necesita unha ruta ata un DC antes de que ningún usuario iniciase sesión. Se a súa VPN de usuario só arrinca despois do inicio de sesión, esa ruta falta. Iso é unha lagoa de deseño, non un fallo do cliente.

Use un fluxo de traballo admitido de antes do inicio de sesión ou de túnel de dispositivo, unha ruta de sitio existente ou unha alternativa aprobada para ese primeiro inicio. Despois probe a secuencia completa: reinicie, chegue á pantalla de credenciais, inicie sesión como o usuario de dominio previsto e confirme que o túnel se comporta segundo o deseñado.

O cambio de usuario e a persistencia da VPN varían segundo o cliente. Non dea por feito que unha conexión iniciada como administrador local sobreviva á sesión doutro usuario.

Conserve o acceso local de recuperación

Preserve unha ruta de recuperación local aprobada antes de entregar o portátil. Se o primeiro inicio de sesión de dominio falla, querrá unha forma de volver entrar que non dependa do mesmo túnel que acaba de fallar.

Anote o que demostrou: resolución SRV, accesibilidade do DC, o erro de unión, o método do primeiro inicio de sesión e a conta de recuperación. Ese rexistro é a diferenza entre unha construción repetible e un portátil que só funciona na oficina.