Бир ай офлайн болгондон кийин домен ишеними үзүлдүбү? Адегенде текшериңиз

Ноутбук алты жума VPN сыртында болуп, кайра келет, жана колдонуучу домен каттоо эсеби менен кире албайт. Ката ишеним мамилесин эскерет, ошондуктан бирөө компьютердин эсебин калыбына келтирет же колдонуучуну толук туннелге мажбурлайт, жана көйгөй жок болгондой көрүнөт. Эки аракеттин бири да эмне бузулганын далилдеген жок. Windows мүчөсү кадимки машина сырсөз аралыгынан кыйла узак офлайн болуп, ишенимди автоматтык түрдө жоготпошу мүмкүн, ошондуктан биринчи милдет жетүү катасын сырдын чыныгы дал келбестигинен ажыратуу.

Ката ишенимге окшош, бирок үч абал бири-бирине окшош

Колдонуучу кэштелген домен маалыматы менен кире алат, жумуш станциясы домен контроллерун таба албашы мүмкүн, же мүчө менен домен машина эсеби боюнча чынында эле макул болбой калышы мүмкүн. Катуу мааниде үзүлгөн ишеним мамилеси үчүнчүсү гана.

AD репликациясынын ден соолугу төртүнчү байкоо, жана ал бул жумуш станциясына такыр тиешеси жок. Ал домен контроллерлорунун ортосундагы макулдашууну сүрөттөйт, жана ден соолугу жакшы репликация тактасы бул машинанын жергиликтүү сыры анын компьютердик эсебине дал келерин далилдебейт.

Белгилүү 30 күндүк демейки — бул өзгөртүү саясаты, офлайн бүтүү мөөнөтү эмес. Microsoftтун машина эсебинин сырсөзү тууралуу түшүндүрмөсү шайкеш өзгөртүү процессин сүрөттөйт, жана уюм башка аралыкты конфигурациялай алат.

VPN белгиси коопсуз канал тууралуу эч нерсени далилдебейт

Каалаган тест маанилүү болушу үчүн байланыш домен кызматтарына жетүүгө жетишерлик жакшы болушу керек. Бул көздөлгөн домен DNS чечүүчүсүн, табылган контроллерду, жеткиликтүү аутентификация кызматтарын жана Kerberos үчүн жетишерлик жакын саатты билдирет.

Толук туннель бул жерде толугу менен жарактуу долбоор болушу мүмкүн. Бөлүнгөн туннелге өтүү дени сак домен мамилесинин шарты эмес, жана аны ошондой кароо диагнозду архитектура өзгөртүүгө айландырат. Жумуш станциясы чындыгында кайсы контроллерду тандаарын текшериңиз жана ошол атты ката менен бирге сактаңыз.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

DNS серверин, чечилген контроллерду жана катанын так текстин жазыңыз. Туташкан деп билдирген VPN кардары туннелдин бар экенин айтат, домен жолунун иштешин эмес. Kerberos портунда жооп берип, каталог портунда жооп бербеген контроллер — бул брандмауэр табылдысы, ишеним табылдысы эмес.

Оңдоодон мурун мүчөнү текшериңиз

Ыйгарылган Windows домен мүчөсүндө Test-ComputerSecureChannel -Verbose машина менен домендин ортосундагы каналдын тек окууга арналган текшерүүсү болуп саналат. Аны изилдеп жаткан машинанын контекстинде иштетиңиз, домен контроллерунан эмес, анткени анын ролу жана калыбына келтирүү эрежелери башка. Өттү же ийгиликсиз деген сөздүн ордуна чыгарылыш менен чыгуу статусун жазыңыз. Эгер ошол курулушта cmdlet жок болсо, модуль өзүнчө маселе.

Натыйжага дагы эле контекст керек. Эгер машина тандалган контроллерго жете албаса же анда аутентификация жасай албаса, ийгиликсиз тест офлайн сырсөздүн мөөнөтү бүткөнүнүн көз карандысыз далили эмес. Чыныгы катаны жана колдонулган контроллерду сактап, жол белгилүү жакшы болгондо тестти кайталаңыз.

Окуянын айланасында мүчөдөгү жана тиешелүү контроллердогу Netlogon окуяларын байланыштырыңыз. Машинанын атын, булак дарегин, убакытты жана эсеп өзгөрүүсүнүн ар кандай далилин сактаңыз. Башка колдонуучунун ийгиликтүү кирүүсү же ден соолугу жакшы контроллер тактасы бул машинанын алмашуусун алмаштыра албайт.

Далилдеген мамилени гана оңдоңуз

Байланыш туруктуу болуп, администратор оңдоонун орундуу экенин ырастагандан кийин, cmdletтин ыйгарылган каттоо маалыматтары менен -Repair режими мүчө жумуш станциясы үчүн колдоого алынган бир операция болуп саналат. Ал мамилени өзгөртөт, жана ал дагы бир тек окууга арналган тест эмес.

Өзгөртүүдөн мурун бекитилген жергиликтүү калыбына келтирүү эсебин жана башкаруу жолун даяр кармаңыз. Домен контроллерлорунун калыбына келтирүү ролу башка, жана бул процедура аларды кадимки жумуш станциялары катары карабашы керек. Бир нече калыбына келтирүү куралын кезеги менен иштетип, бири туура болот деп үмүт кылуунун ордуна уюмдун калыбына келтирүү агымын колдонуңуз.

Оңдоодон кийин жаңы коопсуз канал тестин жана баштапкы домен операциясын текшериңиз. Колдонуучу профилдерин жана колдонмо абалын сактаңыз, жана алып салуу-кайра кошулууну биринчи түшүндүрүлбөгөн аракет кылбаңыз.

Ийгиликсиздик кайталанганда эмнени текшерүү керек

Эгер ийгиликсиздик кайталанса, ошол эле эсепти кайра калыбына келтирүүнүн ордуна артка кайтарууга, кош сандык инсандыкка жана эсеп өзгөрүүлөрүнүн убактысына караңыз. Калыбына келтирилген образ, сүрөт, клондолгон машина инсандыгы же башка жерде аткарылган компьютер эсебин калыбына келтирүү — баары иликтөөгө татыктуу.

Убактылуу ийгиликтүү калыбына келтирүү пайдалуу калыбына келтирүү далили, бирок үзгүлтүктүү VPN баштапкы дал келбестикке себеп болду деген далил эмес. Себептин жоюлганын кийинки окуя айтат.

Контроллерду, DNS серверин жана тесттин чыгарылышын билетке жазыңыз. Так ошол жазуу чыныгы ишеним ийгиликсиздигин доменди таба албаган ноутбуктан ажыратат.