Prisijunkite prie domeno per naudotojo VPN ir išgyvenkite perkrovimą

Prisijungimą prie domeno galite atlikti per taško į tašką VPN. Ko ši jungtis paprastai negali, tai išlikti prisijungusi per vėlesnį perkrovimą, kai pirmasis domeno naudotojas bando prisijungti. Dabar prisijungimą atlieku trimis etapais: įrodau kelią ir aptikimą, kol prisijungęs vietinis administratorius, atlieku prisijungimą ir paskui, prieš perduodamas nešiojamąjį kompiuterį, išbandau pirmąjį domeno prisijungimą. Kiekvienas etapas turi testą, kuris nepavyksta kitoje vietoje.

Būtent šių etapų atskyrimas neleidžia projektui baigtis nešiojamuoju kompiuteriu, kuris sėkmingai prisijungė ir kuriuo negalima naudotis.

Prieš jungdamiesi: leidimas, vietinis administratorius, DNS

Kompiuteriui reikia leidimo, kuris palaiko prisijungimą prie domeno, ir vietinio administratoriaus, įgalioto tai atlikti. VPN turi veikti toje pačioje sesijoje, nes prisijungimas vykdomas saugos kontekste, kurį naudojate.

Nukreipkite klientą į organizacijos katalogo DNS, o ne į viešąjį resolverį ir ne į hosts failo įrašą. Prisijungimui reikia rasti paslaugų įrašus ir tada pasiekti tuos hostus, kuriuos šie įrašai įvardija. Pasenęs sufiksas arba viešasis resolveris aptikimą nusiunčia visai kitur.

Patikrinkite ir laikrodį. Kerberos netoleruoja laiko skirtumo, o mėnesį neprisijungęs nešiojamasis kompiuteris yra dažnas painių prisijungimo klaidų šaltinis.

Įsitikinkite, kad domeną galima aptikti, o ne tik pinginti

Išspręskite domeno LDAP SRV įrašą prieš bandydami prisijungti. Iliustracinėje vieno domeno aplinkoje, pavadintoje ad.corp.example, užklausa yra:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Grąžintas įrašas būtinas, bet nepakankamas. Išspręskite kiekvieną išvardytą DC vardą ir patvirtinkite, kad per tunelį pasiekiate reikiamas paslaugas. Ping į domeno vardą beveik nieko neįrodo apie aptikimą.

Leiskite dokumentuotas AD priklausomybes: autentifikavimą, SMB ir RPC srautą bei laiko sinchronizavimą. Patikrinkite kiekvieną pagal faktiškai įdiegtas ugniasienės taisykles. Domeno valdiklio prievadų publikavimas internete nėra svarstymo vertas trumpasis kelias.

Atlikite prisijungimą ir perskaitykite klaidą

Naudokite palaikomą prisijungimo komandą arba sistemos dialogą ir užrašykite tikslų klaidos tekstą. „Nurodytas domenas arba neegzistuoja, arba su juo nepavyko susisiekti“ rodo aptikimą arba pasiekiamumą, o ne prisijungimo duomenis.

Jei objektas tuo pačiu pavadinimu jau yra, netrinkite jo refleksiškai. Tai gali būti iš anksto paruošta paskyra, o netjoin griežtinimas riboja kai kuriuos pakartotinio naudojimo atvejus pagal nuosavybę ir politiką. Paprašykite katalogo savininko patikrinti arba ištaisyti objektą.

Sėkmingas prisijungimas yra vidurys, o ne finišo linija. Kitas žingsnis yra tas, kurį naudotojas tikrai testuoja.

Suplanuokite pirmąjį domeno prisijungimą

Užbaigtas prisijungimas nesukuria talpykloje saugomų prisijungimo duomenų kiekvienam domeno naudotojui. Pirmajame prisijungimo ekrane nešiojamajam kompiuteriui reikia kelio į DC, kol dar nė vienas naudotojas neprisijungęs. Jei jūsų naudotojo VPN paleidžiamas tik po prisijungimo, to kelio nėra. Tai dizaino spraga, o ne kliento klaida.

Tam pirmajam prisijungimui naudokite palaikomą priešprisijungimo arba įrenginio tunelio darbo eigą, esamą svetainės kelią arba patvirtintą alternatyvą. Tada išbandykite visą seką: perkraukite, pasiekite prisijungimo duomenų ekraną, prisijunkite kaip numatytas domeno naudotojas ir patvirtinkite, kad tunelis elgiasi kaip suprojektuota.

Naudotojų keitimas ir VPN išliekamumas skiriasi priklausomai nuo kliento. Nelaikykite, kad ryšys, pradėtas kaip vietinis administratorius, išliks kito naudotojo sesijoje.

Išsaugokite vietinį atkūrimo pristatymą

Išsaugokite patvirtintą vietinį atkūrimo kelią prieš perduodami nešiojamąjį kompiuterį. Jei pirmasis domeno prisijungimas nepavyksta, norite kelio atgal, kuris nepriklauso nuo to paties tunelio, kuris ką tik nepavyko.

Užrašykite, ką įrodėte: SRV sprendimą, DC pasiekiamumą, prisijungimo klaidą, pirmojo prisijungimo metodą ir atkūrimo paskyrą. Šis įrašas yra skirtumas tarp pakartojamo surinkimo ir nešiojamojo kompiuterio, kuris veikia tik biure.