Придружете се на домен преку кориснички VPN и преживејте го рестартирањето

Придружувањето на домен можете да го изведете преку VPN од точка до локација. Она што оваа врска обично не може да го направи е да остане поврзана за време на рестартирањето што следи, кога првиот корисник на доменот се обидува да се најави. Сега придружувањето го поминувам во три фази: докажување на патеката и откривањето додека е најавен локален администратор, изведување на придружувањето и потоа тестирање на првото најавување на доменот пред да го предадам преносниот сметач. Секоја фаза има тест што паѓа на различно место.

Одвојувањето на тие фази е она што спречува проектот да заврши со преносен сметач што успешно се придружил и не може да се користи.

Пред да се поврзете: издание, локален администратор, DNS

Машината бара издание што поддржува придружување на домен и локален администратор овластен да го изврши. VPN-от мора да биде активен во истата сесија, бидејќи придружувањето се извршува во безбедносниот контекст што го користите.

Насочете го клиентот кон DNS-от на директориумот на организацијата, не кон јавен резолвер и не кон запис во датотеката hosts. Придружувањето треба да ги најде записите за услуги и потоа да ги достигне домаќините што ги именуваат тие записи. Застарен суфикс или јавен резолвер го испраќаат откривањето сосема на друго место.

Проверете го и часовникот. Kerberos не толерира временско отстапување, а преносен сметач што бил еден месец офлајн е чест извор на збунувачки грешки при придружување.

Потврдете дека доменот може да се открие, не само да се пингува

Решете го LDAP SRV записот на доменот пред да се обидете да се придружите. За илустративна околина со еден домен наречен ad.corp.example, барањето е:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Вратен запис е потребен, но не и доволен. Решете го секое наведено име на DC и потврдете дека ги достигнувате потребните услуги преку тунелот. Ping кон името на доменот не докажува речиси ништо за откривањето.

Дозволете ги документираните зависности на AD: автентикација, SMB и RPC сообраќај и синхронизација на времето. Проверете ја секоја спрема правилата на заштитниот ѕид што навистина сте ги поставиле. Објавувањето на портите на контролорот на доменот на интернет не е кратенка што вреди да се разгледа.

Изведете го придружувањето и прочитајте ја грешката

Користете ја поддржаната команда за придружување или системскиот дијалог и запишете го точниот текст на грешката. „Наведениот домен или не постои или не можеше да се контактира“ упатува на откривање или достапност, не на акредитиви.

Ако веќе постои објект со исто име, не го бришете рефлексно. Тоа може да е однапред подготвена сметка, а зацврстувањето на netjoin ограничува некои случаи на повторна употреба според сопственоста и политиката. Побарајте од сопственикот на директориумот да го провери или исправи објектот.

Успешното придружување е средината, а не целната линија. Следниот чекор е оној што корисникот навистина го тестира.

Планирајте го првото најавување на доменот

Завршеното придружување не создава кеширани акредитиви за секој корисник на доменот. На првиот екран за најавување, преносниот сметач бара патека до DC пред било кој корисник да се најавил. Ако вашиот кориснички VPN стартува само по најавувањето, таа патека недостасува. Тоа е празнина во дизајнот, а не грешка на клиентот.

За тоа прво најавување користете поддржан работен тек пред најавување или тунел на уред, постоечка патека до локација или одобрена алтернатива. Потоа тестирајте ја целата низа: рестартирајте, стигнете до екранот за акредитиви, најавете се како предвидениот корисник на доменот и потврдете дека тунелот се однесува како што е проектиран.

Префрлањето корисници и постојаноста на VPN-от се разликуваат од клиент до клиент. Не претпоставувајте дека врската започната како локален администратор ќе преживее во сесијата на друг корисник.

Зачувајте локален пристап за восстановување

Зачувајте одобрена локална патека за восстановување пред да го предадете преносниот сметач. Ако првото најавување на доменот не успее, сакате начин да се вратите што не зависи од истиот тунел што штотуку не успеа.

Запишете што сте докажале: решавање на SRV, достапност на DC, грешката при придружување, методот на прво најавување и сметката за восстановување. Тој запис е разликата меѓу повторливо изградување и преносен сметач што работи само во канцеларија.