Domeno pasitikėjimas žlugo po mėnesio neprisijungus? Pirmiausia patikrinkite

Nešiojamasis kompiuteris šešias savaites būna už VPN ribų, grįžta, ir vartotojas negali prisijungti su domeno paskyra. Klaida mini pasitikėjimo ryšį, todėl kažkas iš naujo nustato kompiuterio paskyrą arba priverčia vartotoją naudoti visą tunelį, ir problema tarsi dingsta. Nė vienas veiksmas neįrodė, kas buvo sugedę. Windows narys gali likti neprisijungęs gerokai ilgiau nei įprastas mašinos slaptažodžio intervalas ir automatiškai neprarasti pasitikėjimo, todėl pirmas darbas – atskirti pasiekiamumo gedimą nuo tikro slaptosios reikšmės neatitikimo.

Klaida atrodo kaip pasitikėjimas, bet trys būsenos panašios

Vartotojas gali prisijungti naudodamas podėlyje saugomą domeno informaciją, darbo stotis gali nerasti domeno valdiklio, arba narys ir domenas gali tikrai nesutarti dėl kompiuterio paskyros. Tik trečioji yra sugriautas pasitikėjimo ryšys griežtąja prasme.

AD replikacijos būklė yra ketvirtas stebėjimas, ir jis visiškai nesusijęs su šia darbo stotimi. Jis apibūdina domeno valdiklių sutarimą, o sveika replikacijos suvestinė neįrodo, kad šios mašinos vietinė slaptoji reikšmė atitinka jos kompiuterio paskyrą.

Pažįstama 30 dienų numatytoji reikšmė yra keitimo politika, o ne neprisijungus galiojimo pabaigos terminas. Microsoft paaiškinimas apie mašinos paskyros slaptažodį apibūdina suderintą keitimo procesą, o organizacija gali nustatyti kitą intervalą.

VPN piktograma nieko neįrodo apie saugų kanalą

Ryšys turi būti pakankamai geras, kad pasiektų domeno paslaugas, kol bet kuris testas ką nors reiškia. Tai reiškia numatytą domeno DNS sprendiklį, randamą valdiklį, pasiekiamas autentifikavimo paslaugas ir pakankamai arti Kerberos esantį laikrodį.

Visas tunelis čia gali būti visiškai pagrįstas sprendimas. Perėjimas prie padalinto tunelio nėra sveiko domeno ryšio sąlyga, o traktavimas kaip sąlygos paverčia diagnozę architektūros pakeitimu. Patikrinkite, kurį valdiklį darbo stotis iš tikrųjų pasirenka, ir išsaugokite tą pavadinimą kartu su klaida.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Užrašykite DNS serverį, išspręstą valdiklį ir tikslų klaidos tekstą. VPN klientas, pranešantis apie prisijungimą, sako, kad tunelis egzistuoja, o ne kad domeno kelias veikia. Valdiklis, kuris atsako Kerberos prievade, bet ne katalogo prievade, yra ugniasienės radinys, o ne pasitikėjimo radinys.

Išbandykite narį prieš jį taisydami

Įgaliotame Windows domeno naryje Test-ComputerSecureChannel -Verbose yra tik skaitymo kanalo tarp mašinos ir domeno patikra. Vykdykite ją tiriamos mašinos kontekste, o ne iš domeno valdiklio, kuris turi kitą vaidmenį ir kitas atkūrimo taisykles. Užfiksuokite išvestį ir išėjimo būseną, o ne žodį pavyko arba nepavyko. Jei tame leidime cmdlet nėra, modulis yra atskira problema.

Rezultatui vis dar reikia konteksto. Jei mašina negali pasiekti pasirinkto valdiklio arba jame autentifikuotis, nepavykęs testas nėra nepriklausomas įrodymas, kad neprisijungus slaptažodis baigė galioti. Išsaugokite tikrąją klaidą ir naudotą valdiklį, ir pakartokite testą, kai kelias žinomas kaip geras.

Koreliuokite Netlogon įvykius naryje ir atitinkamame valdiklyje aplink incidentą. Išsaugokite mašinos pavadinimą, šaltinio adresą, laiką ir bet kokius paskyros pakeitimo įrodymus. Kito vartotojo sėkmingas prisijungimas arba sveika valdiklio suvestinė negali pakeisti šios mašinos mainų.

Taisykite tik tą ryšį, kurį įrodėte

Kai ryšys stabilus ir administratorius patvirtino, kad taisymas tinkamas, cmdlet režimas -Repair su įgaliotais kredencialais yra viena palaikoma operacija nario darbo stočiai. Jis keičia ryšį, ir tai nėra dar vienas tik skaitymo testas.

Prieš pakeitimą laikykite paruoštą patvirtintą vietinę atkūrimo paskyrą ir valdymo kelią. Domeno valdikliai turi kitą atkūrimo vaidmenį, ir ši procedūra neturi jų traktuoti kaip įprastų darbo stočių. Naudokite organizacijos atkūrimo eigą, o ne vykdykite kelis nustatymo iš naujo įrankius iš eilės tikėdamiesi, kad vienas jų teisingas.

Po taisymo patikrinkite naują saugaus kanalo testą ir pradinę domeno operaciją. Išsaugokite vartotojų profilius ir programų būseną, ir nepadarykite pašalinimo-ir-prisijungimo pirmuoju nepaaiškintu veiksmu.

Ką patikrinti, kai gedimas grįžta

Jei gedimas grįžta, pažiūrėkite į atsukimą atgal, dvigubą tapatybę ir paskyros pakeitimų laiką, o ne iš naujo nustatykite tą pačią paskyrą. Atkurtas vaizdas, momentinė kopija, klonuota mašinos tapatybė ar kitur atliktas kompiuterio paskyros nustatymas iš naujo visi verti tyrimo.

Laikinai sėkmingas nustatymas iš naujo yra naudingas atkūrimo įrodymas, bet ne įrodymas, kad protarpinis VPN sukėlė pirminį neatitikimą. Kitas atvejis ir pasakys, ar priežastis kada nors buvo pašalinta.

Įrašykite valdiklį, DNS serverį ir testo išvestį į bilietą. Būtent šis įrašas atskiria tikrą pasitikėjimo gedimą nuo nešiojamojo kompiuterio, kuris tiesiog nerado domeno.