Aggiungere un computer a un dominio tramite VPN utente e sopravvivere al riavvio

Potete eseguire l’aggiunta a un dominio tramite una VPN punto-site. Ciò che di solito quella connessione non riesce a fare è restare attiva durante il riavvio successivo, quando il primo utente del dominio tenta di accedere. Ora percorro l’aggiunta in tre fasi: dimostrare il percorso e l’individuazione mentre è connesso un amministratore locale, eseguire l’aggiunta e poi provare il primo accesso al dominio prima di consegnare il portatile. Ogni fase ha un test che fallisce in un punto diverso.

Separare queste fasi è ciò che impedisce al progetto di finire con un portatile aggiunto correttamente e inutilizzabile.

Prima di connettersi: edizione, amministratore locale, DNS

La macchina necessita di un’edizione che supporti l’aggiunta al dominio e di un amministratore locale autorizzato a eseguirla. La VPN deve essere attiva nella stessa sessione, perché l’aggiunta viene eseguita nel contesto di sicurezza che state usando.

Indirizzate il client al DNS della directory dell’organizzazione, non a un resolver pubblico e non a una voce del file hosts. L’aggiunta deve trovare i record di servizio e poi raggiungere gli host che quei record nominano. Un suffisso obsoleto o un resolver pubblico mandano l’individuazione altrove.

Controllate anche l’orologio. Kerberos non tollera scostamenti di tempo, e un portatile rimasto offline per un mese è una fonte comune di errori di aggiunta poco chiari.

Confermate che il dominio sia individuabile, non solo raggiungibile con ping

Risolvete il record LDAP SRV del dominio prima di tentare l’aggiunta. Per un ambiente esemplificativo a dominio singolo chiamato ad.corp.example, la query è:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Un record restituito è necessario ma non sufficiente. Risolvete ogni nome di DC elencato e confermate di raggiungere i servizi richiesti attraverso il tunnel. Un ping al nome del dominio non dimostra quasi nulla sull’individuazione.

Consentite le dipendenze AD documentate: autenticazione, traffico SMB e RPC, oltre alla sincronizzazione dell’ora. Verificate ciascuna rispetto alle regole del firewall realmente distribuite. Pubblicare le porte del controller di dominio su Internet non è una scorciatoia che valga la pena considerare.

Eseguite l’aggiunta e leggete l’errore

Usate il comando di aggiunta supportato o la finestra di sistema e catturate il testo esatto dell’errore. «Il dominio specificato non esiste o non è stato possibile contattarlo» indica individuazione o raggiungibilità, non credenziali.

Se esiste già un oggetto con lo stesso nome, non eliminatelo d’istinto. Potrebbe essere un account precreato, e l’irrigidimento di netjoin limita alcuni casi di riutilizzo in base a proprietà e criteri. Chiedete al proprietario della directory di ispezionare o correggere l’oggetto.

Un’aggiunta riuscita è il punto intermedio, non il traguardo. Il passo successivo è quello che l’utente prova davvero.

Pianificate il primo accesso al dominio

Un’aggiunta completata non crea credenziali memorizzate per ogni utente del dominio. Alla prima schermata di accesso, il portatile ha bisogno di un percorso verso un DC prima che qualsiasi utente abbia effettuato l’accesso. Se la VPN utente si avvia solo dopo l’accesso, quel percorso manca. È una lacuna di progettazione, non un bug del client.

Usate un flusso di lavoro supportato pre-accesso o un tunnel del dispositivo, un percorso di sede esistente o un’alternativa approvata per quel primo accesso. Poi provate l’intera sequenza: riavviate, raggiungete la schermata delle credenziali, accedete come utente del dominio previsto e confermate che il tunnel si comporti come progettato.

Il cambio utente e la persistenza della VPN variano da client a client. Non date per scontato che una connessione avviata come amministratore locale sopravviva nella sessione di un altro utente.

Conservate l’accesso locale di ripristino

Conservate un percorso di ripristino locale approvato prima di consegnare il portatile. Se il primo accesso al dominio fallisce, volete un modo per rientrare che non dipenda dallo stesso tunnel appena fallito.

Annotate ciò che avete dimostrato: risoluzione SRV, raggiungibilità del DC, l’errore di aggiunta, il metodo del primo accesso e l’account di ripristino. Quel verbale è la differenza tra una costruzione ripetibile e un portatile che funziona solo in ufficio.