Sertai domain melalui VPN pengguna, kemudian bertahan daripada but semula

Anda boleh menjalankan penyertaan domain melalui VPN titik ke tapak. Apa yang biasanya tidak dapat dilakukan oleh sambungan itu ialah kekal bersambung sepanjang but semula yang menyusul, iaitu ketika pengguna domain pertama cuba log masuk. Saya kini melalui penyertaan dalam tiga peringkat: membuktikan laluan dan penemuan semasa pentadbir tempatan log masuk, menjalankan penyertaan, kemudian menguji log masuk domain pertama sebelum menyerahkan komputer riba. Setiap peringkat mempunyai ujian yang gagal di tempat berbeza.

Mengasingkan peringkat itu yang menghalang projek berakhir dengan komputer riba yang berjaya disertai dan tidak boleh digunakan.

Sebelum menyambung: edisi, pentadbir tempatan, DNS

Mesin memerlukan edisi yang menyokong penyertaan domain dan pentadbir tempatan yang diberi kuasa melakukannya. VPN mesti aktif dalam sesi yang sama, kerana penyertaan berjalan dalam konteks keselamatan yang anda gunakan.

Halakan klien ke DNS direktori organisasi, bukan ke penyelesai awam dan bukan ke entri dalam fail hosts. Penyertaan perlu menemui rekod perkhidmatan dan kemudian mencapai hos yang dinamakan oleh rekod itu. Akhiran lapuk atau penyelesai awam menghantar penemuan ke tempat lain sama sekali.

Periksa jam juga. Kerberos tidak bertolak ansur dengan sisihan masa, dan komputer riba yang berada di luar talian sebulan ialah sumber biasa ralat penyertaan yang mengelirukan.

Sahkan domain boleh ditemui, bukan sekadar di-ping

Selesaikan rekod LDAP SRV domain sebelum mencuba penyertaan. Untuk persekitaran contoh satu domain bernama ad.corp.example, pertanyaannya ialah:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Rekod yang dikembalikan perlu tetapi tidak mencukupi. Selesaikan setiap nama DC yang disenaraikan dan sahkan anda mencapai perkhidmatan yang diperlukan melalui terowong. Ping ke nama domain hampir tidak membuktikan apa-apa tentang penemuan.

Benarkan kebergantungan AD yang didokumenkan: pengesahan, trafik SMB dan RPC, serta penyegerakan masa. Semak setiap satu terhadap peraturan tembok api yang benar-benar anda gunakan. Menerbitkan port pengawal domain ke internet bukan jalan pintas yang wajar dipertimbangkan.

Jalankan penyertaan dan baca ralat

Gunakan arahan penyertaan yang disokong atau dialog sistem, dan tangkap teks ralat yang tepat. «Domain yang dinyatakan sama ada tidak wujud atau tidak dapat dihubungi» menunjuk kepada penemuan atau kebolehcapaian, bukan kelayakan.

Jika objek dengan nama sama sudah wujud, jangan padamkannya secara refleks. Ia mungkin akaun yang disediakan lebih awal, dan pengerasan netjoin mengehadkan beberapa kes penggunaan semula mengikut pemilikan dan dasar. Minta pemilik direktori memeriksa atau membetulkan objek itu.

Penyertaan yang berjaya ialah titik tengah, bukan garis penamat. Langkah seterusnya ialah yang benar-benar diuji oleh pengguna.

Rancang log masuk domain pertama

Penyertaan yang selesai tidak mencipta kelayakan cache untuk setiap pengguna domain. Pada skrin log masuk pertama, komputer riba memerlukan laluan ke DC sebelum mana-mana pengguna log masuk. Jika VPN pengguna anda hanya bermula selepas log masuk, laluan itu tiada. Itu jurang reka bentuk, bukan pepijat klien.

Gunakan aliran kerja pra-log masuk atau terowong peranti yang disokong, laluan tapak sedia ada, atau alternatif yang diluluskan untuk log masuk pertama itu. Kemudian uji keseluruhan urutan: but semula, sampai ke skrin kelayakan, log masuk sebagai pengguna domain yang dimaksudkan, dan sahkan terowong berkelakuan seperti direka.

Pertukaran pengguna dan ketahanan VPN berbeza mengikut klien. Jangan andaikan sambungan yang dimulakan sebagai pentadbir tempatan bertahan ke sesi pengguna lain.

Kekalkan akses pemulihan tempatan

Kekalkan laluan pemulihan tempatan yang diluluskan sebelum menyerahkan komputer riba. Jika log masuk domain pertama gagal, anda mahu cara masuk semula yang tidak bergantung pada terowong yang baru sahaja gagal.

Tuliskan apa yang anda buktikan: penyelesaian SRV, kebolehcapaian DC, ralat penyertaan, kaedah log masuk pertama dan akaun pemulihan. Rekod itu ialah perbezaan antara binaan yang boleh diulang dan komputer riba yang hanya berfungsi di pejabat.