Pripojte sa k doméne cez používateľskú VPN a prežite reštart

Pripojenie k doméne môžete vykonať cez VPN typu point-to-site. Čo také pripojenie zvyčajne nedokáže, je zostať pripojené počas nasledujúceho reštartu, keď sa prvý používateľ domény pokúša prihlásiť. Pripojenie teraz prechádzam v troch fázach: preukázať cestu a zisťovanie, kým je prihlásený miestny správca, vykonať pripojenie a potom otestovať prvé prihlásenie do domény pred odovzdaním notebooku. Každá fáza má test, ktorý zlyhá na inom mieste.

Práve oddelenie týchto fáz bráni tomu, aby projekt skončil notebookom, ktorý sa úspešne pripojil a nedá sa používať.

Pred pripojením: edícia, miestny správca, DNS

Stroj potrebuje edíciu, ktorá podporuje pripojenie k doméne, a miestneho správcu, ktorý je na to oprávnený. VPN musí byť aktívna v tej istej relácii, pretože pripojenie beží v bezpečnostnom kontexte, ktorý používate.

Nasmerujte klienta na adresárové DNS organizácie, nie na verejný resolver a nie na záznam v súbore hosts. Pripojenie potrebuje nájsť záznamy služieb a potom dosiahnuť hostiteľov, ktoré tieto záznamy pomenúvajú. Zastaraný sufix alebo verejný resolver pošlú zisťovanie úplne inam.

Skontrolujte aj hodiny. Kerberos netoleruje časový posun a notebook, ktorý bol mesiac offline, je častým zdrojom mätúcich chýb pripojenia.

Overte, že doménu možno zistiť, nielen pingnúť

Pred pokusom o pripojenie preložte záznam LDAP SRV domény. Pre ilustratívne prostredie s jedinou doménou nazvanou ad.corp.example je dopyt tento:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Vrátený záznam je potrebný, ale nie postačujúci. Preložte každý uvedený názov DC a potvrďte, že sa k požadovaným službám dostanete cez tunel. Ping na názov domény o zisťovaní nedokazuje takmer nič.

Povoľte dokumentované závislosti AD: overovanie, prevádzku SMB a RPC a synchronizáciu času. Overte každú z nich voči pravidlám firewallu, ktoré ste skutočne nasadili. Zverejňovanie portov radiča domény na internete nie je skratka, ktorú by stálo za to zvažovať.

Vykonajte pripojenie a prečítajte chybu

Použite podporovaný príkaz na pripojenie alebo systémový dialóg a zaznamenajte presný text chyby. „Zadaná doména buď neexistuje, alebo sa s ňou nepodarilo spojiť“ ukazuje na zisťovanie alebo dostupnosť, nie na prihlasovacie údaje.

Ak už objekt s rovnakým názvom existuje, nemažte ho reflexívne. Môže ísť o vopred pripravený účet a spevnenie netjoin obmedzuje niektoré prípady opätovného použitia podľa vlastníctva a pravidiel. Požiadajte vlastníka adresára o kontrolu alebo opravu objektu.

Úspešné pripojenie je stred, nie cieľová čiara. Ďalším krokom je ten, ktorý používateľ skutočne testuje.

Naplánujte prvé prihlásenie do domény

Dokončené pripojenie nevytvorí uložené prihlasovacie údaje pre každého používateľa domény. Na prvej prihlasovacej obrazovke potrebuje notebook cestu k DC skôr, než sa ktokoľvek prihlási. Ak vaša používateľská VPN štartuje až po prihlásení, táto cesta chýba. To je medzera v návrhu, nie chyba klienta.

Pre to prvé prihlásenie použite podporovaný postup pred prihlásením, tunel zariadenia, existujúcu cestu do lokality alebo schválenú alternatívu. Potom otestujte celú sekvenciu: reštartujte, dostanete sa na prihlasovaciu obrazovku, prihláste sa ako zamýšľaný používateľ domény a potvrďte, že sa tunel správa podľa návrhu.

Prepínanie používateľov a trvácnosť VPN sa líšia podľa klienta. Nepredpokladajte, že pripojenie spustené ako miestny správca prežije do relácie iného používateľa.

Zachovajte miestny prístup na obnovu

Pred odovzdaním notebooku zachovajte schválenú miestnu cestu obnovy. Ak prvé prihlásenie do domény zlyhá, chcete cestu späť, ktorá nezávisí od toho istého tunela, ktorý práve zlyhal.

Zapíšte, čo ste preukázali: preklad SRV, dostupnosť DC, chybu pripojenia, metódu prvého prihlásenia a účet obnovy. Ten záznam je rozdiel medzi opakovateľnou zostavou a notebookom, ktorý funguje len v kancelárii.