Dôvera domény zlyhala po mesiaci offline? Najprv to overte

Notebook je šesť týždňov mimo VPN, vráti sa a používateľ sa nevie prihlásiť doménovým účtom. Chyba spomína vzťah dôvery, takže niekto resetuje účet počítača alebo donúti používateľa na plné tunelovanie, a problém akoby zmizol. Ani jeden zásah nedokázal, čo bolo pokazené. Člen Windows môže zostať offline výrazne dlhšie než zvyčajný interval hesla počítača a automaticky nestratiť dôveru, preto je prvou úlohou oddeliť zlyhanie dostupnosti od skutočného nesúladu tajomstva.

Chyba vyzerá ako dôvera, ale tri stavy sa podobajú

Používateľ sa môže prihlásiť pomocou uložených doménových informácií, pracovná stanica nemusí nájsť radič domény alebo sa člen a doména môžu skutočne nezhodovať v názore na účet počítača. Iba tretí prípad je pokazený vzťah dôvery v prísnom zmysle.

Zdravie replikácie AD je štvrté pozorovanie a o tejto pracovnej stanici vôbec nevypovedá. Opisuje zhodu medzi radičmi domény a zdravý prehľad replikácie nedokazuje, že miestne tajomstvo tohto počítača zodpovedá jeho účtu počítača.

Známa predvolená hodnota 30 dní je zásada zmeny, nie lehota vypršania offline. Vysvetlenie Microsoftu k heslu účtu počítača opisuje koordinovaný proces zmeny a organizácia môže nastaviť iný interval.

Ikona VPN o zabezpečenom kanáli nič nedokazuje

Konektivita musí byť dostatočne dobrá, aby dosiahla doménové služby, skôr než má akýkoľvek test zmysel. To znamená zamýšľaný DNS resolver domény, nájditeľný radič, dostupné overovacie služby a hodiny dostatočne blízko pre Kerberos.

Plné tunelovanie tu môže byť úplne platný návrh. Prechod na rozdelené tunelovanie nie je predpokladom zdravého vzťahu s doménou a jeho chápanie ako predpokladu mení diagnózu na zmenu architektúry. Overte, ktorý radič si pracovná stanica skutočne vyberá, a uchovajte ten názov pri chybe.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Zapíšte DNS server, preložený radič a presný text chyby. Klient VPN, ktorý hlási pripojenie, hovorí, že tunel existuje, nie že cesta do domény funguje. Radič, ktorý odpovedá na porte Kerberos, ale nie na porte adresára, je nález firewallu, nie nález dôvery.

Otestujte člena, skôr než ho opravíte

Na autorizovanom člene domény Windows je Test-ComputerSecureChannel -Verbose kontrola kanála medzi počítačom a doménou iba na čítanie. Spúšťajte ju v kontexte počítača, ktorý skúmate, nie z radiča domény, ktorý má inú rolu a iné pravidlá obnovy. Zaznamenajte výstup a návratový stav namiesto slova prešlo alebo zlyhalo. Ak v danom zostavení cmdlet chýba, modul je samostatný problém.

Výsledok stále potrebuje kontext. Ak počítač nevie dosiahnuť zvolený radič alebo sa na ňom overiť, neúspešný test nie je nezávislým dôkazom, že offline heslo vypršalo. Uchovajte skutočnú chybu a použitý radič a test zopakujte, keď bude cesta preukázateľne dobrá.

Korelujte udalosti Netlogon na člene a na príslušnom radiči okolo incidentu. Uchovajte názov počítača, zdrojovú adresu, čas a akýkoľvek dôkaz zmeny účtu. Úspešné prihlásenie iného používateľa alebo zdravý prehľad radiča nemôžu nahradiť výmenu tohto počítača.

Opravte len vzťah, ktorý ste dokázali

Keď je konektivita stabilná a správca potvrdil, že oprava je vhodná, režim -Repair tohto cmdletu s autorizovanými prihlasovacími údajmi je jedna podporovaná operácia pre členskú pracovnú stanicu. Mení vzťah a nie je to ďalší test iba na čítanie.

Pred zmenou majte k dispozícii schválený miestny účet na obnovu a cestu správy. Radiče domény majú inú rolu obnovy a tento postup s nimi nesmie zaobchádzať ako s bežnými pracovnými stanicami. Použite organizačný postup obnovy, namiesto spúšťania niekoľkých nástrojov na reset za sebou a nádeje, že jeden z nich je správny.

Po oprave overte nový test zabezpečeného kanála a pôvodnú doménovú operáciu. Zachovajte používateľské profily a stav aplikácií a nenechajte odstránenie a opätovné pripojenie byť prvou nevysvetlenou akciou.

Čo skontrolovať, keď sa zlyhanie vráti

Ak sa zlyhanie vráti, pozrite sa na vrátenie späť, duplicitnú identitu a načasovanie zmien účtu, namiesto opätovného resetovania toho istého účtu. Obnovený obraz, snímka, klonovaná identita počítača alebo reset účtu počítača vykonaný inde si všetky zaslúžia vyšetrenie.

Dočasne úspešný reset je užitočný dôkaz obnovy, ale nie je dôkazom, že pôvodný nesúlad spôsobil prerušovaný VPN. Práve nasledujúci výskyt vám povie, či bola príčina vôbec odstránená.

Zapíšte radič, DNS server a výstup testu do tiketu. Práve tento záznam odlišuje skutočné zlyhanie dôvery od notebooku, ktorý jednoducho nenašiel doménu.