Alăturați un computer unui domeniu prin VPN de utilizator și supraviețuiți repornirii

Puteți executa alăturarea la domeniu printr-o VPN punct-la-site. Ce nu poate face de obicei această conexiune este să rămână activă în timpul repornirii care urmează, când primul utilizator al domeniului încearcă să se autentifice. Parcurg acum alăturarea în trei etape: dovedesc calea și descoperirea cât timp este autentificat un administrator local, execut alăturarea și apoi testez prima autentificare în domeniu înainte de a preda laptopul. Fiecare etapă are un test care eșuează într-un alt loc.

Separarea acestor etape este ceea ce împiedică proiectul să se termine cu un laptop care a fost alăturat cu succes și nu poate fi folosit.

Înainte de conectare: ediție, administrator local, DNS

Mașina are nevoie de o ediție care acceptă alăturarea la domeniu și de un administrator local autorizat să o execute. VPN-ul trebuie să fie activ în aceeași sesiune, deoarece alăturarea rulează în contextul de securitate pe care îl utilizați.

Îndreptați clientul spre DNS-ul directorului organizației, nu spre un resolver public și nu spre o intrare din fișierul hosts. Alăturarea trebuie să găsească înregistrările de serviciu și apoi să ajungă la gazdele pe care aceste înregistrări le numesc. Un sufix învechit sau un resolver public trimit descoperirea cu totul în altă parte.

Verificați și ceasul. Kerberos nu tolerează abateri de timp, iar un laptop care a fost o lună offline este o sursă frecventă de erori de alăturare încurcate.

Confirmați că domeniul poate fi descoperit, nu doar pingat

Rezolvați înregistrarea LDAP SRV a domeniului înainte de a încerca alăturarea. Pentru un mediu ilustrativ cu un singur domeniu numit ad.corp.example, interogarea este:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

O înregistrare returnată este necesară, dar nu suficientă. Rezolvați fiecare nume de DC pe care îl listează și confirmați că ajungeți la serviciile necesare prin tunel. Un ping către numele domeniului nu dovedește aproape nimic despre descoperire.

Permiteți dependențele AD documentate: autentificare, trafic SMB și RPC, plus sincronizare a timpului. Verificați fiecare dintre ele față de regulile de firewall pe care le-ați implementat efectiv. Publicarea porturilor controlerului de domeniu pe internet nu este o scurtătură care merită luată în considerare.

Executați alăturarea și citiți eroarea

Folosiți comanda de alăturare acceptată sau dialogul sistemului și capturați textul exact al erorii. «Domeniul specificat fie nu există, fie nu a putut fi contactat» indică descoperire sau accesibilitate, nu acreditări.

Dacă există deja un obiect cu același nume, nu îl ștergeți din reflex. Poate fi un cont precreat, iar întărirea netjoin restricționează unele cazuri de reutilizare în funcție de proprietate și politică. Rugați proprietarul directorului să inspecteze sau să corecteze obiectul.

O alăturare reușită este punctul de mijloc, nu linia de sosire. Următorul pas este cel pe care utilizatorul îl testează cu adevărat.

Planificați prima autentificare în domeniu

O alăturare finalizată nu creează acreditări stocate în cache pentru fiecare utilizator al domeniului. La primul ecran de autentificare, laptopul are nevoie de o cale către un DC înainte ca vreun utilizator să se fi autentificat. Dacă VPN-ul de utilizator pornește doar după autentificare, acea cale lipsește. Aceasta este o lacună de proiectare, nu o eroare a clientului.

Pentru acea primă autentificare, folosiți un flux de lucru acceptat de pre-autentificare sau de tunel al dispozitivului, o cale de site existentă sau o alternativă aprobată. Apoi testați întreaga secvență: reporniți, ajungeți la ecranul de acreditări, autentificați-vă ca utilizatorul de domeniu dorit și confirmați că tunelul se comportă conform proiectării.

Schimbarea utilizatorului și persistența VPN diferă în funcție de client. Nu presupuneți că o conexiune pornită ca administrator local supraviețuiește în sesiunea altui utilizator.

Păstrați accesul local de recuperare

Păstrați o cale locală de recuperare aprobată înainte de a preda laptopul. Dacă prima autentificare în domeniu eșuează, doriți o cale de întoarcere care să nu depindă de același tunel care tocmai a eșuat.

Notați ce ați dovedit: rezolvarea SRV, accesibilitatea DC-ului, eroarea de alăturare, metoda primei autentificări și contul de recuperare. Acea consemnare este diferența dintre o construcție repetabilă și un laptop care funcționează doar la birou.