Trust domene pao nakon mjesec dana van mreže? Provjerite najprije

Prenosni računar je šest sedmica izvan VPN-a, vrati se, i korisnik ne može da se prijavi domenskim računom. Greška pominje odnos povjerenja, pa neko resetuje račun računala, ili prisili korisnika na puno tuneliranje, i problem kao da nestane. Nijedna radnja nije dokazala šta je bilo pokvareno. Windows član može ostati van mreže znatno duže od uobičajenog intervala lozinke mašine, a da automatski ne izgubi povjerenje, pa je prvi posao odvojiti neuspjeh dostupnosti od stvarne neusklađenosti tajne.

Greška izgleda kao povjerenje, ali tri stanja se sliče

Korisnik može da se prijavi keširanim podacima domene, radna stanica možda ne može pronaći kontroler domene, ili se član i domena zaista ne slažu oko računa mašine. Samo je treće pokvaren odnos povjerenja u strogom smislu.

Zdravlje AD replikacije je četvrto zapažanje i uopšte se ne odnosi na ovu radnu stanicu. Ono opisuje saglasnost između kontrolera domene, a zdrav nadzornik replikacije ne dokazuje da lokalna tajna ove mašine odgovara njenom računu računala.

Poznati zadani rok od 30 dana je politika promjene, a ne rok isteka van mreže. Microsoftovo objašnjenje lozinke računa mašine opisuje koordinisani proces promjene, a organizacija može konfigurisati drugačiji interval.

Ikona VPN-a ništa ne dokazuje o sigurnom kanalu

Povezivanje mora biti dovoljno dobro da dosegne usluge domene prije nego bilo koji test nešto znači. To znači predviđeni DNS razrješivač domene, pronalažljiv kontroler, dostupne usluge provjere identiteta i sat dovoljno blizu za Kerberos.

Puno tuneliranje ovdje može biti posve valjan dizajn. Prelazak na podijeljeno tuneliranje nije preduvjet za zdrav odnos s domenom, a tretiranje kao da jest pretvara dijagnozu u promjenu arhitekture. Provjerite koji kontroler radna stanica doista bira i sačuvajte to ime uz grešku.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Zabilježite DNS server, razriješeni kontroler i tačan tekst greške. VPN klijent koji javlja da je povezan govori vam da tunel postoji, a ne da put do domene radi. Kontroler koji odgovara na portu Kerberosa ali ne na portu imenika nalaz je vatrozida, a ne nalaz povjerenja.

Testirajte člana prije nego ga popravite

Na ovlaštenom Windows članu domene, Test-ComputerSecureChannel -Verbose provjera je kanala između mašine i domene samo za čitanje. Pokrenite je u kontekstu mašine koju istražujete, ne sa kontrolera domene, koji ima drugačiju ulogu i drugačija pravila oporavka. Zabilježite izlaz i izlazni status umjesto riječi prolaz ili pad. Ako cmdlet nedostaje u tom buildu, modul je odvojen problem.

Rezultat i dalje traži kontekst. Ako mašina ne može dosegnuti ili se autentificirati na odabranom kontroleru, neuspjeli test nije neovisan dokaz da je lozinka van mreže istekla. Sačuvajte stvarnu grešku i korišteni kontroler i ponovite test kad put bude poznato dobar.

Povežite Netlogon događaje na članu i na relevantnom kontroleru oko incidenta. Sačuvajte ime mašine, izvornu adresu, vrijeme i svaki dokaz promjene računa. Uspješna prijava drugog korisnika ili zdrav nadzornik kontrolera ne mogu zamijeniti razmjenu ove mašine.

Popravite samo odnos koji ste dokazali

Kad je povezanost stabilna i administrator potvrdi da je popravak primjeren, -Repair način cmdleta s ovlaštenim vjerodajnicama jedna je podržana operacija za radnu stanicu člana. On mijenja odnos i nije još jedan test samo za čitanje.

Prije promjene držite dostupnim odobreni lokalni račun za oporavak i put upravljanja. Kontroleri domene imaju drugačiju ulogu oporavka i ovaj postupak ne smije ih tretirati kao obične radne stanice. Koristite organizacijski tok oporavka umjesto pokretanja nekoliko alata za reset uzastopno i nade da je jedan od njih pravi.

Nakon popravka provjerite novi test sigurnog kanala i izvornu operaciju domene. Sačuvajte korisničke profile i stanje aplikacija, i neka uklanjanje i ponovno pridruživanje ne bude prva neobjašnjena radnja.

Šta provjeriti kad se kvar vrati

Ako se kvar vrati, pogledajte vraćanje unazad, udvostručeni identitet i vrijeme promjena računa, umjesto da ponovo resetirate isti račun. Vraćena slika, snimka stanja, klonirani identitet mašine ili reset računa računala obavljen negdje drugdje svi zaslužuju istragu.

Privremeno uspješan reset koristan je dokaz oporavka, ali nije dokaz da je isprekidan VPN uzrokovao izvornu neusklađenost. Sljedeća pojava je ta koja vam kaže da li je uzrok ikada uklonjen.

Upišite kontroler, DNS server i izlaz testa u tiket. Taj zapis je ono što razlikuje stvarni neuspjeh povjerenja od prenosnog računara koji jednostavno nije mogao pronaći domenu.