Zaupanje domene je po mesecu brez povezave padlo? Najprej preverite

Prenosnik je šest tednov zunaj VPN, se vrne in uporabnik se ne more prijaviti z računom domene. Napaka omenja razmerje zaupanja, zato nekdo ponastavi račun računalnika ali uporabnika prisili na polni tunel, in težava izgine. Nobeno dejanje ni dokazalo, kaj je bilo pokvarjeno. Član sistema Windows lahko ostane brez povezave precej dlje od običajnega intervala gesla stroja in ne izgubi zaupanja samodejno, zato je prva naloga ločiti napako dosegljivosti od resničnega neskladja skrivnosti.

Napaka je videti kot zaupanje, a tri stanja so si podobna

Uporabnik se lahko prijavi s predpomnjenimi podatki domene, delovna postaja morda ne najde krmilnika domene, ali pa se član in domena res ne strinjata glede računa računalnika. Samo tretje je pokvarjeno razmerje zaupanja v strogem smislu.

Zdravje replikacije AD je četrto opažanje in ne govori o tej delovni postaji. Opisuje soglasje med krmilniki domene, zdrava nadzorna plošča replikacije pa ne dokazuje, da se lokalna skrivnost tega računalnika ujema z njegovim računom računalnika.

Znana privzeta vrednost 30 dni je politika spremembe, ne rok poteka brez povezave. Microsoftova razlaga gesla računa stroja opisuje usklajen postopek spremembe in organizacija lahko nastavi drugačen interval.

Ikona VPN ne dokazuje ničesar o varnem kanalu

Povezljivost mora biti dovolj dobra, da doseže storitve domene, preden kateri koli test kaj pomeni. To pomeni predvideni DNS razločevalnik domene, najdljiv krmilnik, dosegljive storitve preverjanja pristnosti in uro, dovolj blizu za Kerberos.

Polni tunel je tu lahko povsem veljavna zasnova. Prehod na razdeljeni tunel ni pogoj za zdravo razmerje z domeno, in obravnavanje kot pogoj spremeni diagnozo v spremembo arhitekture. Preverite, kateri krmilnik delovna postaja dejansko izbere, in to ime shranite ob napaki.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Zapišite strežnik DNS, razrešeni krmilnik in točno besedilo napake. Odjemalec VPN, ki poroča o povezavi, pove, da tunel obstaja, ne da pot do domene deluje. Krmilnik, ki odgovarja na vratih Kerberos, ne pa na vratih imenika, je ugotovitev požarnega zidu, ne ugotovitev zaupanja.

Preizkusite člana, preden ga popravite

Na pooblaščenem članu domene Windows je Test-ComputerSecureChannel -Verbose preverjanje kanala med strojem in domeno samo za branje. Zaženite ga v kontekstu stroja, ki ga preiskujete, ne s krmilnika domene, ki ima drugačno vlogo in drugačna pravila obnovitve. Zabeležite izhod in izhodni status namesto besede uspelo ali ni uspelo. Če v tej gradnji ni ukaza cmdlet, je modul ločena težava.

Rezultat še vedno potrebuje kontekst. Če stroj ne more doseči izbranega krmilnika ali se z njim overiti, neuspešen test ni neodvisen dokaz, da je geslo brez povezave poteklo. Shranite dejansko napako in uporabljeni krmilnik ter test ponovite, ko je pot znano dobra.

Povežite dogodke Netlogon na članu in na ustreznem krmilniku okoli dogodka. Ohranite ime stroja, izvorni naslov, čas in vsak dokaz o spremembi računa. Uspešna prijava drugega uporabnika ali zdrava nadzorna plošča krmilnika ne moreta nadomestiti izmenjave tega stroja.

Popravite samo razmerje, ki ste ga dokazali

Ko je povezljivost stabilna in je skrbnik potrdil, da je popravilo ustrezno, je način -Repair tega ukaza cmdlet s pooblaščenimi poverilnicami ena podprta operacija za delovno postajo člana. Spremeni razmerje in ni še en test samo za branje.

Pred spremembo imejte na voljo odobren lokalni račun za obnovitev in pot upravljanja. Krmilniki domene imajo drugačno vlogo obnovitve in ta postopek jih ne sme obravnavati kot običajne delovne postaje. Uporabite organizacijski potek obnovitve, namesto da zaženete več orodij za ponastavitev zaporedoma in upate, da je eno od njih pravo.

Po popravilu preverite nov test varnega kanala in prvotno operacijo domene. Ohranite uporabniške profile in stanje aplikacij ter ne naredite odstranitve-in-ponovne-pridružitve prvega nerazloženega dejanja.

Kaj preveriti, ko se okvara vrne

Če se okvara vrne, poglejte razveljavitev, podvojeno identiteto in čas sprememb računa, namesto da znova ponastavite isti račun. Obnovljena slika, posnetek stanja, klonirana identiteta stroja ali ponastavitev računa računalnika, izvedena drugje, si vse zaslužijo preiskavo.

Začasno uspešna ponastavitev je koristen dokaz obnovitve, ni pa dokaz, da je prekinjen VPN povzročil prvotno neskladje. Naslednja pojavitev je tista, ki vam pove, ali je bil vzrok kdaj odpravljen.

Zapišite krmilnik, strežnik DNS in izhod testa v zahtevek. Prav ta zapis loči resnično okvaro zaupanja od prenosnika, ki preprosto ni našel domene.