Хэрэглэгчийн VPN-ээр домэйнд нэгдэж, дахин ачааллаас гарч үлдэх

Домэйнд нэгдэхийг цэгээс цэг рүү VPN-ээр хийж болно. Энэ холболтын ихэвчлэн хийж чаддаггүй зүйл бол дараагийн дахин ачааллах үед холбогдсон хэвээр үлдэх бөгөөд тэр үед эхний домэйны хэрэглэгч нэвтрэхийг оролддог. Би одоо нэгдлийг гурван үе шаттайгаар хийдэг: локал администратор нэвтэрсэн байхад зам ба илрүүлэлтийг батлах, нэгдлийг гүйцэтгэх, дараа нь зөөврийн компьютерийг хүлээлгэн өгөхөөс өмнө эхний домэйны нэвтрэлтийг турших. Үе шат бүр өөр газар бүтэлгүйтдэг шалгалттай.

Эдгээр үе шатыг тусгаарлах нь төслийг амжилттай нэгдсэн ч ашиглах боломжгүй зөөврийн компьютерээр дуусгахаас сэргийлдэг.

Холбогдохын өмнө: хэвлэл, локал админ, DNS

Машинд домэйнд нэгдэхийг дэмждэг хэвлэл болон үүнийг гүйцэтгэх эрх бүхий локал администратор хэрэгтэй. VPN нь ижил сесс дотор ажиллаж байх ёстой, учир нь нэгдэл таны ашиглаж буй аюулгүй байдлын орчинд явагдана.

Клиентийг байгууллагын каталогийн DNS рүү чиглүүлээрэй, нийтийн шийдэгч рүү ч, hosts файлын бичлэг рүү ч биш. Нэгдэлд үйлчилгээний бичлэгүүдийг олох шаардлагатай бөгөөд дараа нь тэдгээр бичлэгийн нэрлэсэн хост руу хүрэх ёстой. Хуучирсан дагавар эсвэл нийтийн шийдэгч илрүүлэлтийг огт өөр газар илгээдэг.

Цагаа ч шалгаарай. Kerberos цагийн зөрүүг тэвчихгүй бөгөөд сар гаруй офлайн байсан зөөврийн компьютер нь будлиантай нэгдлийн алдааны түгээмэл эх сурвалж юм.

Домэйныг зөвхөн пинг биш, илрүүлж болохыг баталгаажуулаарай

Нэгдэхийг оролдохын өмнө домэйны LDAP SRV бичлэгийг шийдээрэй. ad.corp.example нэртэй жишээ нэг домэйн орчны хувьд асуулга нь:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Буцаасан бичлэг шаардлагатай боловч хангалтгүй. Түүний жагсаасан DC нэр бүрийг шийдэж, туннелээр шаардлагатай үйлчилгээнд хүрч байгаагаа баталгаажуулаарай. Домэйны нэр рүү ping хийх нь илрүүлэлтийн талаар бараг юу ч батлахгүй.

Баримтжуулсан AD хамаарлыг зөвшөөрөөрэй: баталгаажуулалт, SMB ба RPC урсгал, мөн цагийн синхрончлол. Нэг бүрийг бодитоор байрлуулсан галт ханын дүрэмтэй харьцуулж шалгаарай. Домэйны хянагчийн портуудыг интернетэд нийтлэх нь авч үзэх ёстой товч зам биш.

Нэгдлийг гүйцэтгэж, алдааг уншаарай

Дэмжигдсэн нэгдлийн команд эсвэл системийн диалогыг ашиглаж, алдааны яг текстийг тэмдэглээрэй. «Заасан домэйн нь байхгүй эсвэл түүнтэй холбогдож чадсангүй» гэдэг нь илрүүлэлт эсвэл хүртээмж рүү заадаг бөгөөд итгэмжлэл рүү биш.

Хэрэв ижил нэртэй объект аль хэдийн байвал түүнийг рефлексээр бүү устга. Энэ нь урьдчилан бэлтгэсэн бүртгэл байж болох бөгөөд netjoin хатууруулалт нь өмчлөл ба бодлогын дагуу зарим дахин ашиглалтын тохиолдлыг хязгаарладаг. Каталогийн эзэнд объектыг шалгах эсвэл засахыг хүсээрэй.

Амжилттай нэгдэл бол дунд цэг, барианы шугам биш. Дараагийн алхам бол хэрэглэгчийн үнэхээр туршдаг зүйл юм.

Эхний домэйны нэвтрэлтийг төлөвлөөрэй

Дууссан нэгдэл нь домэйны хэрэглэгч бүрт кэшлэгдсэн итгэмжлэл үүсгэдэггүй. Эхний нэвтрэлтийн дэлгэцэд ямар ч хэрэглэгч нэвтрэхээс өмнө зөөврийн компьютерт DC рүү зам хэрэгтэй. Хэрэв таны хэрэглэгчийн VPN нэвтрэлтийн дараа л эхэлдэг бол тэр зам байхгүй. Энэ бол дизайны цоорхой, клиентийн алдаа биш.

Тэр эхний нэвтрэлтэд дэмжигдсэн нэвтрэлтийн өмнөх эсвэл төхөөрөмжийн туннелийн ажлын урсгал, одоо байгаа сайтын зам, эсвэл зөвшөөрөгдсөн хувилбарыг ашиглаарай. Дараа нь бүх дарааллыг туршаарай: дахин ачаал, итгэмжлэлийн дэлгэцэд хүр, зориулсан домэйны хэрэглэгчээр нэвтэр, туннель зохион байгуулсан ёсоор ажиллаж байгааг баталгаажуул.

Хэрэглэгч солих ба VPN-ийн тогтвортой байдал клиентээс хамаарч өөр өөр байна. Локал админаар эхэлсэн холболт өөр хэрэглэгчийн сесс рүү үргэлжлэнэ гэж бүү бод.

Локал сэргээх хандалтыг хадгалаарай

Зөөврийн компьютерийг хүлээлгэн өгөхөөс өмнө зөвшөөрөгдсөн локал сэргээх замыг хадгалаарай. Эхний домэйны нэвтрэлт бүтэлгүйтвэл, яг одоо бүтэлгүйтсэн туннелээс хамааралгүй буцах зам хэрэгтэй.

Юу баталснаа бичээрэй: SRV шийдэл, DC хүртээмж, нэгдлийн алдаа, эхний нэвтрэлтийн арга, сэргээх бүртгэл. Тэр бичлэг нь давтагдах боломжтой бүтээц ба зөвхөн оффис дээр ажилладаг зөвөрийн компьютер хоёрын ялгаа юм.