Junte um computador a um domínio por uma VPN de utilizador e sobreviva ao reinício

Pode executar uma junção ao domínio através de uma VPN ponto-a-site. O que essa ligação normalmente não consegue fazer é manter-se ativa durante o reinício que se segue, quando o primeiro utilizador do domínio tenta iniciar sessão. Agora percorro a junção em três fases: provar o caminho e a descoberta enquanto um administrador local tem sessão iniciada, executar a junção e, depois, testar o primeiro início de sessão de domínio antes de entregar o portátil. Cada fase tem um teste que falha num local diferente.

Separar estas fases é o que impede que o projeto termine com um portátil que foi associado com êxito e não pode ser utilizado.

Antes de ligar: edição, administrador local, DNS

A máquina precisa de uma edição que suporte a junção ao domínio e de um administrador local autorizado a executá-la. A VPN tem de estar ativa na mesma sessão, porque a junção é executada no contexto de segurança que está a utilizar.

Aponte o cliente para o DNS do diretório da organização, não para um resolvedor público nem para uma entrada do ficheiro hosts. A junção precisa de encontrar os registos de serviço e depois alcançar os anfitriões que esses registos nomeiam. Um sufixo obsoleto ou um resolvedor público enviam a descoberta para um local completamente diferente.

Verifique também o relógio. O Kerberos não tolera desvios de tempo, e um portátil que esteve um mês offline é uma fonte comum de erros de junção confusos.

Confirme que o domínio pode ser descoberto, não apenas pingado

Resolva o registo LDAP SRV do domínio antes de tentar a junção. Para um ambiente ilustrativo de um único domínio chamado ad.corp.example, a consulta é:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Um registo devolvido é necessário mas não suficiente. Resolva cada nome de DC que lista e confirme que alcança os serviços necessários através do túnel. Um ping ao nome do domínio não prova quase nada sobre a descoberta.

Permita as dependências de AD documentadas: autenticação, tráfego SMB e RPC, além de sincronização de tempo. Verifique cada uma contra as regras de firewall que implementou realmente. Publicar as portas do controlador de domínio na internet não é um atalho que valha a pena considerar.

Execute a junção e leia o erro

Utilize o comando de junção suportado ou a caixa de diálogo do sistema e registe o texto exato do erro. «O domínio especificado não existe ou não foi possível contactá-lo» aponta para descoberta ou acessibilidade, não para credenciais.

Se já existir um objeto com o mesmo nome, não o elimine por reflexo. Pode ser uma conta pré-criada, e o endurecimento do netjoin restringe alguns casos de reutilização segundo a propriedade e a política. Peça ao proprietário do diretório que inspecione ou corrija o objeto.

Uma junção bem-sucedida é o ponto intermédio, não a meta. O passo seguinte é o que o utilizador realmente testa.

Planeie o primeiro início de sessão de domínio

Uma junção concluída não cria credenciais em cache para cada utilizador do domínio. No primeiro ecrã de início de sessão, o portátil precisa de um caminho até um DC antes de qualquer utilizador ter iniciado sessão. Se a sua VPN de utilizador só arranca depois do início de sessão, esse caminho falta. Isso é uma lacuna de conceção, não um erro do cliente.

Para esse primeiro início de sessão, utilize um fluxo de trabalho suportado de pré-início de sessão ou de túnel de dispositivo, um caminho de site existente ou uma alternativa aprovada. Depois teste a sequência completa: reinicie, alcance o ecrã de credenciais, inicie sessão como o utilizador de domínio pretendido e confirme que o túnel se comporta como concebido.

A troca de utilizador e a persistência da VPN variam consoante o cliente. Não assuma que uma ligação iniciada como administrador local sobrevive na sessão de outro utilizador.

Mantenha o acesso local de recuperação

Preserve um caminho de recuperação local aprovado antes de entregar o portátil. Se o primeiro início de sessão de domínio falhar, quer uma forma de voltar a entrar que não dependa do mesmo túnel que acabou de falhar.

Anote o que provou: resolução SRV, acessibilidade do DC, o erro de junção, o método do primeiro início de sessão e a conta de recuperação. Esse registo é a diferença entre uma construção repetível e um portátil que só funciona no escritório.