Neem een computer op in een domein via een gebruikers-VPN en overleef de herstart

Je kunt een domeindeelname uitvoeren via een point-to-site-VPN. Wat die verbinding meestal niet kan, is actief blijven tijdens de herstart die volgt, wanneer de eerste domeingebruiker probeert in te loggen. Ik doorloop de deelname nu in drie fasen: het pad en de detectie bewijzen terwijl een lokale beheerder is aangemeld, de deelname uitvoeren en daarna de eerste domeinaanmelding testen voordat ik de laptop overdraag. Elke fase heeft een test die op een ander punt faalt.

Het scheiden van die fasen is wat voorkomt dat het project eindigt met een laptop die wel is toegevoegd en niet te gebruiken is.

Voordat je verbindt: editie, lokale beheerder, DNS

De machine heeft een editie nodig die domeindeelname ondersteunt en een lokale beheerder die bevoegd is om die uit te voeren. De VPN moet in dezelfde sessie actief zijn, omdat de deelname draait in de beveiligingscontext die je gebruikt.

Wijs de client naar de directory-DNS van de organisatie, niet naar een publieke resolver en niet naar een regel in het hosts-bestand. De deelname moet de servicerecords vinden en vervolgens de hosts bereiken die die records noemen. Een verouderd achtervoegsel of een publieke resolver stuurt de detectie heel ergens anders heen.

Controleer ook de klok. Kerberos verdraagt geen tijdsafwijking, en een laptop die een maand offline is geweest, is een veelvoorkomende bron van verwarrende deelnamefouten.

Bevestig dat het domein vindbaar is, niet alleen pingbaar

Los het LDAP SRV-record van het domein op voordat je de deelname probeert. Voor een voorbeeldige omgeving met één domein genaamd ad.corp.example is de query:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Een teruggegeven record is nodig maar niet voldoende. Los elke DC-naam op die het vermeldt en bevestig dat je de vereiste services via de tunnel bereikt. Een ping naar de domeinnaam bewijst vrijwel niets over detectie.

Sta de gedocumenteerde AD-afhankelijkheden toe: verificatie, SMB- en RPC-verkeer en tijdsynchronisatie. Controleer elk daarvan tegen de firewallregels die je daadwerkelijk hebt uitgerold. De poorten van de domeincontroller op internet publiceren is geen snelweg die het overwegen waard is.

Voer de deelname uit en lees de fout

Gebruik de ondersteunde deelnameopdracht of de systeemdialoog en leg de exacte fouttekst vast. „Het opgegeven domein bestaat niet of kon niet worden bereikt“ wijst op detectie of bereikbaarheid, niet op inloggegevens.

Als er al een object met dezelfde naam bestaat, verwijder het dan niet reflexmatig. Het kan een vooraf klaargezet account zijn, en netjoin-verharding beperkt sommige hergebruikgevallen op basis van eigenaarschap en beleid. Vraag de directory-eigenaar het object te inspecteren of te corrigeren.

Een geslaagde deelname is het middelpunt, niet de finish. De volgende stap is degene die de gebruiker echt test.

Plan de eerste domeinaanmelding

Een voltooide deelname maakt geen inloggegevens in de cache voor elke domeingebruiker. Op het eerste aanmeldingsscherm heeft de laptop een pad naar een DC nodig voordat een gebruiker is aangemeld. Als jouw gebruikers-VPN pas na aanmelding start, ontbreekt dat pad. Dat is een ontwerpgat, geen bug in de client.

Gebruik een ondersteunde workflow vóór aanmelding of een apparaattunnel, een bestaand sitepad of een goedgekeurd alternatief voor die eerste aanmelding. Test daarna de volledige reeks: herstart, bereik het inlogscherm, meld aan als de bedoelde domeingebruiker en bevestig dat de tunnel zich gedraagt zoals ontworpen.

Gebruikerswisseling en VPN-persistentie verschillen per client. Ga er niet van uit dat een verbinding die als lokale beheerder is gestart, in de sessie van een andere gebruiker blijft bestaan.

Behoud lokale hersteltoegang

Bewaar een goedgekeurd lokaal herstelpad voordat je de laptop overdraagt. Als de eerste domeinaanmelding mislukt, wil je een weg terug die niet afhangt van dezelfde tunnel die net faalde.

Schrijf op wat je hebt bewezen: SRV-resolutie, bereikbaarheid van de DC, de deelnamefout, de methode voor de eerste aanmelding en het herstelaccount. Dat verslag is het verschil tussen een herhaalbare build en een laptop die alleen op kantoor werkt.