Bli med i eit domene over ein brukar-VPN, og overlev omstarten

Du kan køyre ei domenetilkopling over ein punkt-til-site-VPN. Det den tilkoplinga vanlegvis ikkje klarer, er å halde seg oppe gjennom omstarten som følgjer, når den første domenebrukaren prøver å logge på. Eg tek no tilkoplinga i tre fasar: prove stien og oppdaginga medan ein lokal administrator er pålogga, køyre tilkoplinga og deretter teste den første domenepålogginga før eg overlet maskinen. Kvar fase har ein test som feilar på ein annan stad.

Å skilje desse fasane er det som hindrar prosjektet i å enda med ein maskin som vart tilkopla og ikkje kan brukast.

Før du koplar til: utgåve, lokal administrator, DNS

Maskinen treng ein utgåve som støttar domenetilkopling og ein lokal administrator som er autorisert til å utføre ho. VPN-en må vere oppe i same økta, fordi tilkoplinga køyrer i tryggleikskonteksten du brukar.

Peik klienten mot katalog-DNS-en til organisasjonen, ikkje mot ein offentleg resolver og ikkje mot ei oppføring i hosts-fila. Tilkoplinga må finne tenestepostane og deretter nå vertane som postane peikar på. Eit utdatert suffiks eller ein offentleg resolver sender oppdaginga ein heilt annan stad.

Sjekk klokka òg. Kerberos toler ikkje tidsavvik, og ein maskin som har vore fråkopla i ein månad er ei vanleg kjelde til forvirrande tilkoplingsfeil.

Stadfest at domenet kan oppdagast, ikkje berre pingast

Slå opp LDAP SRV-posten til domenet før du prøver tilkoplinga. For eit illustrerande enkeltdomene-miljø med namnet ad.corp.example er spørjinga:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Ein returnert post er nødvendig, men ikkje tilstrekkeleg. Slå opp kvart DC-namn han listar opp, og stadfest at du når dei nødvendige tenestene gjennom tunnelen. Ein ping mot domenenamnet bevisar nesten ingenting om oppdaging.

Tillat dei dokumenterte AD-avhengigheitene: autentisering, SMB- og RPC-trafikk samt tidssynkronisering. Kontroller kvar av dei mot brannmurreglane du faktisk har rulle ut. Å publisere portane til domenekontrolløren på internett er ikkje ein snarvveg som er verdt å vurdere.

Køyr tilkoplinga og les feilen

Bruk den støtta tilkoplingskommandoen eller systemdialogen, og ta vare på den nøyaktige feilteksten. «Det oppgitte domenet finst anten ikkje eller kunne ikkje kontaktast» peikar på oppdaging eller tilgjenge, ikkje på påloggingsinformasjon.

Viss det alt finst eit objekt med same namn, må du ikkje sletta det på refleks. Det kan vere ein førehandsklargjort konto, og netjoin-herding avgrensar enkelte gjenbrukstilfelle etter eigarskap og policy. Be katalogeigaren undersøkje eller rette objektet.

Ei vellukka tilkopling er midtpunktet, ikkje målstreken. Det neste trinnet er det brukaren faktisk testar.

Planlegg den første domenepålogginga

Ei fullført tilkopling lagar ikkje bufra påloggingsdata for kvar domenebrukar. På den første påloggingsskjermen treng maskinen ein sti til ein DC før nokon brukar har logga på. Viss brukar-VPN-en din startar først etter pålogging, manglar den stien. Det er eit hol i designet, ikkje ein klientfeil.

Bruk ein støtta arbeidsflyt før pålogging eller ein einheitstunnel, ein eksisterande nettstadsti eller eit godkjent alternativ for den første pålogginga. Test deretter heile sekvensen: start på nytt, kom til påloggingsskjermen, logg på som den tiltenkte domenebrukaren, og stadfest at tunnelen oppfører seg som designa.

Brukarbyte og VPN-vedvaring varierer frå klient til klient. Ikkje gå ut frå at ei tilkopling som er starta som lokal administrator, overlever inn i økta til ein annan brukar.

Behald lokal gjenopprettingstilgang

Ta vare på ein godkjend lokal gjenopprettingssti før du overlet maskinen. Viss den første domenepålogginga feilar, vil du ha ein veg tilbake som ikkje er avhengig av den same tunnelen som nettopp feila.

Skriv ned kva du prova: SRV-oppslag, DC-tilgjenge, tilkoplingsfeilen, metoden for første pålogging og gjenopprettingskontoen. Den registreringa er skilnaden mellom eit repeterbart bygg og ein maskin som berre verkar på kontoret.