Подключение к домену через пользовательский VPN и выживание после перезагрузки

Присоединение к домену можно выполнить через VPN «точка — сайт». Чего такое соединение обычно не умеет — оставаться подключённым во время следующей перезагрузки, когда первый пользователь домена пытается войти. Сейчас я прохожу присоединение в три этапа: доказываю путь и обнаружение, пока выполнен вход локального администратора, выполняю присоединение, а затем проверяю первый вход в домен до передачи ноутбука. У каждого этапа есть проверка, которая срабатывает в другом месте.

Именно разделение этих этапов не даёт проекту закончиться ноутбуком, который успешно присоединён и непригоден к работе.

Перед подключением: редакция, локальный администратор, DNS

Машине нужна редакция с поддержкой присоединения к домену и локальный администратор, уполномоченный его выполнить. VPN должен работать в том же сеансе, потому что присоединение выполняется в контексте безопасности, который вы используете.

Направьте клиент на DNS каталога организации, а не на публичный резолвер и не на запись в файле hosts. Для присоединения нужно найти записи служб а затем достучаться до узлов, которые эти записи называют. Устаревший суффикс или публичный резолвер отправляют обнаружение совсем в другое место.

Проверьте и часы. Kerberos не терпит расхождения времени, а ноутбук, который месяц был офлайн, — частая причина путаных ошибок присоединения.

Убедитесь, что домен можно обнаружить, а не только пингануть

Разрешите запись LDAP SRV домена, прежде чем пытаться присоединиться. Для показательной среды с одним доменом ad.corp.example запрос такой:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Полученная запись необходима, но недостаточна. Разрешите каждое указанное в ней имя DC и подтвердите, что нужные службы доступны через туннель. Ping по имени домена почти ничего не доказывает об обнаружении.

Разрешите документированные зависимости AD: проверку подлинности, трафик SMB и RPC, а также синхронизацию времени. Сверьте каждую с правилами брандмауэра, которые вы действительно развернули. Публикация портов контроллера домена в интернете — не тот короткий путь, который стоит рассматривать.

Выполните присоединение и прочитайте ошибку

Используйте поддерживаемую команду присоединения или системный диалог и зафиксируйте точный текст ошибки. «Указанный домен либо не существует, либо с ним не удалось связаться» указывает на обнаружение или доступность, а не на учётные данные.

Если объект с таким же именем уже существует, не удаляйте его рефлекторно. Это может быть заранее подготовленная учётная запись, а усиление netjoin ограничивает часть случаев повторного использования в зависимости от владения и политики. Попросите владельца каталога проверить или исправить объект.

Успешное присоединение — это середина, а не финиш. Следующий шаг — тот, который пользователь действительно проверяет.

Спланируйте первый вход в домен

Завершённое присоединение не создаёт кэшированные учётные данные для каждого пользователя домена. На первом экране входа ноутбуку нужен путь к DC до того, как хоть один пользователь вошёл. Если ваш пользовательский VPN запускается только после входа, этого пути нет. Это пробел в проектировании, а не ошибка клиента.

Для этого первого входа используйте поддерживаемый сценарий предварительного входа или туннеля устройства, существующий путь к площадке либо одобренную альтернативу. Затем проверьте всю последовательность: перезагрузитесь, дойдите до экрана учётных данных, войдите как предполагаемый пользователь домена и убедитесь, что туннель ведёт себя так, как задумано.

Переключение пользователей и сохранение VPN зависят от клиента. Не предполагайте, что соединение, начатое под локальным администратором, переживёт переход в сеанс другого пользователя.

Сохраните локальный доступ для восстановления

Сохраните одобренный локальный путь восстановления до передачи ноутбука. Если первый вход в домен не удастся, вам нужен способ вернуться, не зависящий от того же туннеля, который только что отказал.

Запишите, что вы доказали: разрешение SRV, доступность DC, ошибку присоединения, метод первого входа и учётную запись восстановления. Эта запись — разница между воспроизводимой сборкой и ноутбуком, который работает только в офисе.