Колдонуучу VPN аркылуу доменге кошулуп, кайра жүктөөдөн өтүңүз

Доменге кошулууну пункт-пункт VPN аркылуу аткарууга болот. Бул байланыш адатта кыла албаган нерсе — андан кийинки кайра жүктөө учурунда туташкан бойдон калуу, ошол учурда биринчи домендик колдонуучу кирүүгө аракет кылат. Азыр мен кошулууну үч баскычта жүргүзөм: жергиликтүү администратор кирген абалда жолду жана аныктоону далилдөө, кошулууну аткаруу, анан ноутбукту өткөрүп берүүдөн мурун биринчи домендик кирүүнү текшерүү. Ар бир баскычтын башка жерде ийгиликсиз болгон тести бар.

Ушул баскычтарды бөлүү долбоордун ийгиликтүү кошулган жана колдонууга жараксыз ноутбук менен бүтүшүнө жол бербейт.

Туташуудан мурун: басылма, жергиликтүү админ, DNS

Машинага доменге кошулууну колдогон басылма жана аны аткарууга ыйгарым укуктуу жергиликтүү администратор керек. VPN ошол эле сессияда күйүп турушу керек, анткени кошулуу сиз колдонуп жаткан коопсуздук контекстинде аткарылат.

Кардарды уюмдун каталогдук DNS'ине багыттаңыз, ачык чечүүчүгө да, hosts файлындагы жазууга да эмес. Кошулуу үчүн кызмат жазууларын табуу керек, анан ошол жазуулар атаган хостторго жетүү керек. Эскирген суффикс же ачык чечүүчү аныктоону таптакыр башка жакка жиберет.

Саатты да текшериңиз. Kerberos убакыт айырмасын көтөрбөйт, ал эми бир ай оффлайн болгон ноутбук баш аламан кошулуу каталарынын кеңири тараган булагы.

Домендин табылаарын ырастаңыз, пинг эмес

Кошулууну аракет кылуудан мурун домендин LDAP SRV жазуусун чечиңиз. ad.corp.example деп аталган үлгүлүү бир домендүү чөйрө үчүн суроо мындай:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Кайтарылган жазуу зарыл, бирок жетиштүү эмес. Ал тизмелеген ар бир DC аталышын чечип, туннель аркылуу керектүү кызматтарга жете аларыңызды ырастаңыз. Домен аталышына ping жасоо аныктоо жөнүндө дээрлик эч нерсени далилдебейт.

Документтелген AD көз карандылыктарына уруксат бериңиз: аутентификация, SMB жана RPC трафиги, ошондой эле убакыт синхрондошу. Ар бирин сиз чындап орноткон брандмауэр эрежелери менен салыштырыңыз. Домен контроллеринин портторун интернетке жарыялоо карап чыгууга татыктуу кыска жол эмес.

Кошулууну аткарып, катаны окуңуз

Колдоого алынган кошулуу буйругун же системалык диалогду колдонуп, катанын так текстин жазып алыңыз. «Көрсөтүлгөн домен же жок, же ага байланышуу мүмкүн болбоду» дегени аныктоого же жеткиликтүүлүккө ишарат кылат, эсептик маалыматтарга эмес.

Эгер ошол эле аттагы объект мурунтан бар болсо, аны рефлекстик түрдө өчүрбөңүз. Ал алдын ала даярдалган эсеп болушу мүмкүн, ал эми netjoin катаалдаштыруусу менчик жана саясатка жараша айрым кайра колдонуу учурларын чектейт. Каталог ээсинен объектини текшерүүнү же оңдоону сураңыз.

Ийгиликтүү кошулуу — орто, мара сызыгы эмес. Кийинки кадам — колдонуучу чындап текшере турган кадам.

Биринчи домендик кирүүнү пландаңыз

Бүткөн кошулуу ар бир домендик колдонуучу үчүн кэштелген эсептик маалыматтарды түзбөйт. Биринчи кирүү экранында ноутбукка кандайдыр бир колдонуучу киргенге чейин DC'ге жол керек. Эгер колдонуучу VPN'иңиз кирүүдөн кийин гана башталса, ал жол жок. Бул долбоордогу кемчилик, кардардын катасы эмес.

Ошол биринчи кирүү үчүн колдоого алынган кирүү алдындагы же түзмөк туннелинин иш агымын, бар сайт жолун же бекитилген альтернативаны колдонуңуз. Анан толук ырааттуулукту текшериңиз: кайра жүктөңүз, эсептик маалыматтар экранына жетиңиз, көздөлгөн домендик колдонуучу катары кириңиз жана туннель долбоордонгондой иштээрин ырастаңыз.

Колдонуучуну алмаштыруу жана VPN туруктуулугу кардарга жараша өзгөрөт. Жергиликтүү админ катары башталган байланыш башка колдонуучунун сессиясында уланарын ойлобоңуз.

Жергиликтүү калыбына келтирүү мүмкүнчүлүгүн сактаңыз

Ноутбукту өткөрүп берүүдөн мурун бекитилген жергиликтүү калыбына келтирүү жолун сактаңыз. Эгер биринчи домендик кирүү ийгиликсиз болсо, азыр ийгиликсиз болгон ошол эле туннелге көз каранды эмес кайтуу жолу керек.

Эмнени далилдегениңизди жазыңыз: SRV чечүү, DC'ге жеткиликтүүлүк, кошулуу катасы, биринчи кирүү ыкмасы жана калыбына келтирүү эсеби. Ошол жазуу кайталануучу куруу менен кеңседе гана иштеген ноутбуктун айырмасы.