Տիրույթի վստահությունը խախտվե՞լ է մեկ ամիս անցանց մնալուց հետո։ Սկզբում ստուգեք

Նոութբուքը վեց շաբաթ մնում է VPN-ից դուրս, վերադառնում է, և օգտատերը չի կարողանում մուտք գործել տիրույթի հաշվով։ Սխալը հիշատակում է վստահության հարաբերություն, ուստի ինչ-որ մեկը վերականգնում է համակարգչի հաշիվը կամ օգտատիրոջը պարտադրում է լրիվ թունելավորում, և խնդիրը կարծես անհետանում է։ Երկու գործողություններից ոչ մեկը չապացուցեց, թե ինչ էր կոտրված։ Windows-ի անդամը կարող է անցանց մնալ սովորական մեքենայական գաղտնաբառի միջակայքից շատ ավելի երկար՝ ինքնաշխատ չկորցնելով վստահությունը, ուստի առաջին խնդիրը հասանելիության խափանումը գաղտնիքի իրական անհամապատասխանությունից բաժանելն է։

Սխալը վստահության տեսք ունի, բայց երեք վիճակ նման են

Օգտատերը կարող է մուտք գործել քեշավորված տիրույթի տվյալներով, աշխատանոցը չի գտնի տիրույթի կառավարիչ, կամ անդամը և տիրույթը կարող են իսկապես տարակարծիք լինել մեքենայի հաշվի շուրջ։ Միայն երրորդն է խախտված վստահության հարաբերություն խիստ իմաստով։

AD-ի կրկնօրինակման առողջությունը չորրորդ դիտարկումն է, և այն բոլորովին չի վերաբերում այս աշխատանոցին։ Այն նկարագրում է տիրույթի կառավարիչների միջև համաձայնությունը, և առողջ կրկնօրինակման վահանակը չի ապացուցում, որ այս մեքենայի տեղական գաղտնիքը համապատասխանում է նրա համակարգչի հաշվին։

Ծանոթ 30-օրյա կանխադրվածը փոփոխության քաղաքականություն է, ոչ թե անցանց ժամկետի վերջնաժամկետ։ Microsoft-ի բացատրությունը մեքենայի հաշվի գաղտնաբառի մասին նկարագրում է համակարգված փոփոխության գործընթաց, և կազմակերպությունը կարող է սահմանել այլ միջակայք։

VPN-ի պատկերակը ոչինչ չի ապացուցում անվտանգ ալիքի մասին

Կապը պետք է բավական լավ լինի տիրույթի ծառայություններին հասնելու համար, նախքան ցանկացած թեստ ինչ-որ բան կնշանակի։ Դա նշանակում է նախատեսված տիրույթի DNS լուծիչ, գտնելի կառավարիչ, հասանելի նույնականացման ծառայություններ և Kerberos-ի համար բավական մոտ ժամացույց։

Լրիվ թունելը այստեղ կարող է լիովին վավեր ձևավորում լինել։ Բաժանված թունելի անցնելը առողջ տիրույթային հարաբերության նախապայման չէ, և այն որպես այդպիսին դիտարկելը ախտորոշումը վերածում է ճարտարապետության փոփոխության։ Ստուգեք, թե որ կառավարիչն է աշխատանոցն իրականում ընտրում, և պահեք այդ անունը սխալի հետ։

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Գրանցեք DNS սերվերը, լուծված կառավարիչը և սխալի ճշգրիտ տեքստը։ VPN հաճախորդը, որը հայտնում է միացված լինելու մասին, ասում է, որ թունելը գոյություն ունի, ոչ թե որ տիրույթի ուղին աշխատում է։ Կառավարիչը, որը պատասխանում է Kerberos պորտին, բայց ոչ գրացուցակի պորտին, հրշեջ պատի հայտնաբերում է, ոչ թե վստահության։

Փորձարկեք անդամին նախքան այն վերանորոգելը

Լիազորված Windows տիրույթի անդամի վրա Test-ComputerSecureChannel -Verbose-ը մեքենայի և տիրույթի միջև ալիքի միայն կարդալու ստուգում է։ Գործարկեք այն ձեր հետազոտվող մեքենայի համատեքստում, ոչ թե տիրույթի կառավարիչից, որն այլ դեր և այլ վերականգնման կանոններ ունի։ Պահեք ելքը և ելքի կարգավիճակը, ոչ թե անցավ կամ ձախողվեց բառը։ Եթե cmdlet-ը բացակայում է այդ կառուցվածքում, մոդուլը առանձին խնդիր է։

Արդյունքը դեռ համատեքստի կարիք ունի։ Եթե մեքենան չի կարողանում հասնել ընտրված կառավարչին կամ նույնականանալ նրա մոտ, ապա ձախողված թեստը անկախ ապացույց չէ, որ անցանց գաղտնաբառը սպառվել է։ Պահեք իրական սխալը և օգտագործված կառավարիչը, և կրկնեք թեստը, երբ ուղին հայտնի լավ լինի։

Կապակցրեք Netlogon իրադարձությունները անդամի և համապատասխան կառավարիչի վրա՝ միջադեպի շուրջ։ Պահեք մեքենայի անունը, աղբյուրի հասցեն, ժամը և հաշվի փոփոխության ցանկացած ապացույց։ Այլ օգտատիրոջ հաջող մուտքը կամ առողջ կառավարչի վահանակը չեն կարող փոխարինել այս մեքենայի փոխանակումը։

Վերանորոգեք միայն այն հարաբերությունը, որն ապացուցել եք

Երբ կապը կայուն է, և ադմինիստրատորը հաստատել է, որ վերանորոգումը տեղին է, cmdlet-ի -Repair ռեժիմը լիազորված հավատարմագրերով անդամ աշխատանոցի համար մեկ աջակցվող գործողություն է։ Այն փոխում է հարաբերությունը, և այն ևս մեկ միայն կարդալու թեստ չէ։

Փոփոխությունից առաջ պատրաստ պահեք հաստատված տեղական վերականգնման հաշիվ և կառավարման ուղի։ Տիրույթի կառավարիչներն այլ վերականգնման դեր ունեն, և այս ընթացակարգը չպետք է նրանց վերաբերվի որպես սովորական աշխատանոցների։ Օգտագործեք կազմակերպության վերականգնման հոսքը՝ մի քանի վերականգնման գործիքներ հաջորդաբար գործարկելու և դրանցից մեկը ճիշտ լինելու հույսով սպասելու փոխարեն։

Վերանորոգումից հետո ստուգեք նոր անվտանգ ալիքի թեստ և սկզբնական տիրույթային գործողությունը։ Պահեք օգտատերերի պրոֆիլները և հավելվածների վիճակը, և հեռացում-վերսկսումը մի դարձրեք առաջին չբացատրված գործողությունը։

Ինչ ստուգել, երբ խափանումը վերադառնա

Եթե խափանումը վերադառնում է, նայեք հետ շրջմանը, կրկնակի ինքնությանը և հաշվի փոփոխությունների ժամանակին, այլ ոչ թե նորից վերականգնեք նույն հաշիվը։ Վերականգնված պատկեր, պահոց, կլոնավորված մեքենայի ինքնություն կամ այլ տեղ կատարված համակարգչի հաշվի վերականգնում՝ բոլորը հետաքննության արժանի են։

Ժամանակավոր հաջող վերականգնումը օգտակար վերականգնման ապացույց է, բայց դա ապացույց չէ, որ ընդհատվող VPN-ն է առաջացրել սկզբնական անհամապատասխանությունը։ Հաջորդ դեպքն է, որ ձեզ կասի՝ արդյոք պատճառը երբևէ վերացվել է։

Գրեք կառավարիչը, DNS սերվերը և թեստի ելքը տոմսի մեջ։ Այդ գրառումն է, որ տարբերում է իրական վստահության խափանումը նոութբուքից, որը պարզապես չի կարողացել գտնել տիրույթը։