Kepercayaan domain gagal selepas sebulan luar talian? Semak dahulu

Sebuah komputer riba berada di luar VPN selama enam minggu, kembali, dan pengguna tidak dapat log masuk dengan akaun domain. Ralat menyebut hubungan kepercayaan, jadi seseorang menetapkan semula akaun komputer, atau memaksa pengguna ke terowong penuh, dan masalah itu kelihatan hilang. Kedua-dua tindakan itu tidak membuktikan apa yang rosak. Ahli Windows boleh kekal luar talian jauh melepasi selang kata laluan mesin biasa tanpa kehilangan kepercayaan secara automatik, jadi tugas pertama ialah memisahkan kegagalan capaian daripada ketakpadanan rahsia sebenar.

Ralat itu kelihatan seperti kepercayaan, tetapi tiga keadaan kelihatan serupa

Pengguna mungkin log masuk dengan maklumat domain yang dicache, stesen kerja mungkin tidak dapat menemui pengawal domain, atau ahli dan domain mungkin benar-benar tidak bersetuju tentang akaun komputer. Hanya yang ketiga ialah hubungan kepercayaan yang rosak dalam erti kata yang ketat.

Kesihatan replikasi AD ialah pemerhatian keempat, dan ia sama sekali bukan tentang stesen kerja ini. Ia menerangkan persetujuan antara pengawal domain, dan papan pemuka replikasi yang sihat tidak membuktikan bahawa rahsia setempat mesin ini sepadan dengan akaun komputernya.

Lalai 30 hari yang biasa ialah dasar perubahan, bukan tarikh akhir tamat tempoh luar talian. Penjelasan Microsoft tentang kata laluan akaun mesin menerangkan proses perubahan yang diselaraskan, dan organisasi boleh mengkonfigurasi selang yang berbeza.

Ikon VPN tidak membuktikan apa-apa tentang saluran selamat

Kesambungan mesti cukup baik untuk mencapai perkhidmatan domain sebelum sebarang ujian bermakna. Itu bermaksud penyelesai DNS domain yang dimaksudkan, pengawal yang boleh ditemui, perkhidmatan pengesahan yang boleh dicapai dan jam yang cukup dekat untuk Kerberos.

Terowong penuh boleh menjadi reka bentuk yang sah sepenuhnya di sini. Bertukar kepada terowong berpecah bukan prasyarat untuk hubungan domain yang sihat, dan memperlakukannya sedemikian menjadikan diagnosis kepada perubahan seni bina. Semak pengawal mana yang sebenarnya dipilih oleh stesen kerja, dan simpan nama itu bersama ralat.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Catat pelayan DNS, pengawal yang diselesaikan dan teks ralat yang tepat. Klien VPN yang melaporkan bersambung memberitahu anda bahawa terowong wujud, bukan bahawa laluan domain berfungsi. Pengawal yang menjawab pada port Kerberos tetapi tidak pada port direktori ialah penemuan firewall, bukan penemuan kepercayaan.

Uji ahli sebelum membaikinya

Pada ahli domain Windows yang dibenarkan, Test-ComputerSecureChannel -Verbose ialah pemeriksaan baca sahaja bagi saluran antara mesin dan domain. Jalankannya dalam konteks mesin yang anda siasat, bukan dari pengawal domain, yang mempunyai peranan dan peraturan pemulihan yang berbeza. Rekod output dan status keluar dan bukan perkataan lulus atau gagal. Jika cmdlet tiada pada binaan itu, modul ialah masalah berasingan.

Hasilnya masih memerlukan konteks. Jika mesin tidak dapat mencapai atau mengesahkan diri dengan pengawal yang dipilih, ujian yang gagal bukan bukti bebas bahawa kata laluan luar talian telah tamat tempoh. Simpan ralat sebenar dan pengawal yang digunakan, dan ulangi ujian setelah laluan diketahui baik.

Kaitkan peristiwa Netlogon pada ahli dan pada pengawal berkenaan di sekitar insiden. Simpan nama mesin, alamat sumber, masa dan apa-apa bukti perubahan akaun. Log masuk berjaya pengguna lain, atau papan pemuka pengawal yang sihat, tidak boleh menggantikan pertukaran mesin ini.

Baiki hanya hubungan yang anda telah buktikan

Setelah kesambungan stabil dan pentadbir mengesahkan bahawa pembaikan sesuai, mod -Repair cmdlet dengan kelayakan yang dibenarkan ialah satu operasi yang disokong untuk stesen kerja ahli. Ia mengubah hubungan itu, dan ia bukan satu lagi ujian baca sahaja.

Sediakan akaun pemulihan setempat yang diluluskan dan laluan pengurusan sebelum perubahan. Pengawal domain mempunyai peranan pemulihan yang berbeza dan prosedur ini tidak boleh menganggapnya sebagai stesen kerja biasa. Gunakan aliran kerja pemulihan organisasi daripada menjalankan beberapa alat tetapan semula secara berturutan dan berharap salah satunya yang betul.

Selepas pembaikan, sahkan ujian saluran selamat yang baharu dan operasi domain asal. Kekalkan profil pengguna dan keadaan aplikasi, dan jangan jadikan tanggalkan-dan-sertai-semula tindakan pertama yang tidak dijelaskan.

Apa yang perlu disemak apabila kegagalan kembali

Jika kegagalan kembali, lihat rollback, identiti berganda dan masa perubahan akaun daripada menetapkan semula akaun yang sama sekali lagi. Imej yang dipulihkan, syot kilat, identiti mesin yang diklon, atau tetapan semula akaun komputer yang dilakukan di tempat lain semuanya wajar disiasat.

Tetapan semula yang berjaya sementara ialah bukti pemulihan yang berguna, tetapi bukan bukti bahawa VPN berselang-seli menyebabkan ketakpadanan asal. Kejadian seterusnya-lah yang memberitahu anda sama ada punca itu pernah dihapuskan.

Tulis pengawal, pelayan DNS dan output ujian ke dalam tiket. Rekod itulah yang membezakan kegagalan kepercayaan sebenar daripada komputer riba yang semata-mata tidak dapat menemui domain.