Бір ай офлайн болғаннан кейін домен сенімі үзілді ме? Алдымен тексеріңіз

Ноутбук алты апта VPN-нан тыс қалады, қайтады, және пайдаланушы домен тіркелгісімен кіре алмайды. Қате сенім қатынасын атайды, сондықтан біреу компьютер тіркелгісін қалпына келтіреді немесе пайдаланушыны толық туннельге мәжбүрлейді, ал мәселе жоғалғандай көрінеді. Екі әрекеттің ешқайсысы ненің бұзылғанын дәлелдеген жоқ. Windows мүшесі әдеттегі машина құпиясөзі аралығынан әлдеқайда ұзақ офлайн қалып, сенімді автоматты түрде жоғалтпауы мүмкін, сондықтан бірінші міндет – қолжетімділік ақауын құпияның нақты сәйкессіздігінен ажырату.

Қате сенімге ұқсайды, бірақ үш күй бір-біріне ұқсайды

Пайдаланушы кэштелген домен ақпаратымен кіре алады, жұмыс станциясы домен контроллерін таба алмауы мүмкін, немесе мүше мен домен машина тіркелгісі туралы шынымен келіспеуі мүмкін. Тек үшіншісі ғана қатаң мағынада үзілген сенім қатынасы.

AD репликациясының денсаулығы – төртінші байқау, және ол бұл жұмыс станциясына мүлдем қатысы жоқ. Ол домен контроллерлері арасындағы келісімді сипаттайды, ал сау репликация тақтасы бұл машинаның жергілікті құпиясы оның компьютер тіркелгісіне сәйкес келетінін дәлелдемейді.

Танымал 30 күндік әдепкі – бұл өзгерту саясаты, офлайн мерзімінің біту мерзімі емес. Microsoft-тың машина тіркелгісінің құпиясөзі туралы түсіндірмесі үйлестірілген өзгерту процесін сипаттайды, және ұйым басқа аралықты конфигурациялай алады.

VPN белгішесі қауіпсіз арна туралы ештеңе дәлелдемейді

Кез келген тест мағыналы болуы үшін қосылым домен қызметтеріне жетуге жеткілікті жақсы болуы керек. Бұл көзделген домен DNS шешушісін, табылатын контроллерді, қолжетімді аутентификация қызметтерін және Kerberos үшін жеткілікті жақын сағатты білдіреді.

Толық туннель мұнда толығымен жарамды дизайн болуы мүмкін. Бөлінген туннельге көшу сау домен қатынасының алғышарты емес, және оны солай қарау диагнозды архитектура өзгерісіне айналдырады. Жұмыс станциясы шын мәнінде қай контроллерді таңдайтынын тексеріңіз және сол атауды қатемен бірге сақтаңыз.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

DNS серверін, шешілген контроллерді және қатенің нақты мәтінін жазыңыз. Қосылғанын хабарлайтын VPN клиенті туннельдің бар екенін айтады, домен жолының жұмыс істейтінін емес. Kerberos портына жауап беріп, каталог портына жауап бермейтін контроллер – брандмауэр табысы, сенім табысы емес.

Жөндеуден бұрын мүшені тексеріңіз

Уәкілетті Windows домен мүшесінде Test-ComputerSecureChannel -Verbose машина мен домен арасындағы арнаны тек оқуға арналған тексеру болып табылады. Оны зерттеп жатқан машина контекстінде іске қосыңыз, домен контроллерінен емес, өйткені оның рөлі мен қалпына келтіру ережелері басқа. Өтті немесе сәтсіз сөзінің орнына шығыс пен шығу күйін жазыңыз. Егер сол құрамда cmdlet болмаса, модуль жеке мәселе.

Нәтижеге әлі де контекст қажет. Егер машина таңдалған контроллерге жете алмаса немесе оған аутентификация жасай алмаса, сәтсіз тест офлайн құпиясөздің мерзімі біткенінің тәуелсіз дәлелі емес. Нақты қатені және пайдаланылған контроллерді сақтап, жол белгілі жақсы болғанда тесті қайталаңыз.

Оқиға айналасында мүшедегі және тиісті контроллердегі Netlogon оқиғаларын байланыстырыңыз. Машина атауын, бастапқы адресті, уақытты және тіркелгі өзгерісінің кез келген дәлелін сақтаңыз. Басқа пайдаланушының сәтті кіруі немесе сау контроллер тақтасы бұл машинаның алмасуын алмастыра алмайды.

Тек дәлелдеген қатынасты жөндеңіз

Қосылым тұрақты болып, әкімші жөндеудің орынды екенін растағаннан кейін, cmdlet-тің уәкілетті тіркелгі деректерімен -Repair режимі мүше жұмыс станциясы үшін қолдау көрсетілетін бір операция болып табылады. Ол қатынасты өзгертеді, және ол тағы бір тек оқуға арналған тест емес.

Өзгеріске дейін бекітілген жергілікті қалпына келтіру тіркелгісін және басқару жолын дайын ұстаңыз. Домен контроллерлерінің қалпына келтіру рөлі басқа, және бұл процедура оларды қарапайым жұмыс станциялары ретінде қарастырмауы керек. Бірнеше қалпына келтіру құралын кезекпен іске қосып, біреуі дұрыс болар деп үміттенудің орнына ұйымның қалпына келтіру ағынын пайдаланыңыз.

Жөндеуден кейін жаңа қауіпсіз арна тестін және бастапқы домен операциясын тексеріңіз. Пайдаланушы профильдері мен қолданба күйін сақтаңыз, және жою-қайта қосылуды бірінші түсіндірілмеген әрекетке айналдырмаңыз.

Ақау қайта оралғанда нені тексеру керек

Егер ақау қайта оралса, сол тіркелгіні қайта қалпына келтірудің орнына кері қайтаруға, қосарланған сәйкестікке және тіркелгі өзгерістерінің уақытына қараңыз. Қалпына келтірілген бейне, сурет, клондалған машина сәйкестігі немесе басқа жерде орындалған компьютер тіркелгісін қалпына келтіру – барлығы тергеуге лайық.

Уақытша сәтті қалпына келтіру пайдалы қалпына келтіру дәлелі, бірақ үзілісті VPN бастапқы сәйкессіздікке себеп болды деген дәлел емес. Себептің жойылғанын келесі оқиға айтады.

Контроллерді, DNS серверін және тест шығысын билетке жазыңыз. Дәл сол жазба нақты сенім ақауын доменді таба алмаған ноутбуктен ажыратады.