Pridružite se domeni prek uporabniškega VPN in preživite ponovni zagon

Pridružitev domeni lahko izvedete prek VPN od točke do lokacije. Česar ta povezava običajno ne zmore, je ostati povezana med ponovnim zagonom, ki sledi, ko se prvi uporabnik domene poskuša prijaviti. Pridružitev zdaj izvajam v treh fazah: dokažem pot in odkrivanje, medtem ko je prijavljen lokalni skrbnik, izvedem pridružitev in nato preizkusim prvo prijavo v domeno, preden predam prenosnik. Vsaka faza ima preizkus, ki odpove na drugem mestu.

Prav ločevanje teh faz preprečuje, da bi se projekt končal s prenosnikom, ki je bil uspešno pridružen in ga ni mogoče uporabljati.

Pred povezavo: izdaja, lokalni skrbnik, DNS

Stroj potrebuje izdajo, ki podpira pridružitev domeni, in lokalnega skrbnika, pooblaščenega za izvedbo. VPN mora delovati v isti seji, ker se pridružitev izvaja v varnostnem kontekstu, ki ga uporabljate.

Klienta usmerite na DNS imenika organizacije, ne na javni razreševalnik in ne na vnos v datoteki hosts. Pridružitev mora najti zapise storitev in nato doseči gostitelje, ki jih ti zapisi imenujejo. Zastarela pripona ali javni razreševalnik pošljeta odkrivanje povsem drugam.

Preverite tudi uro. Kerberos ne dopušča časovnega odstopanja, prenosnik, ki je bil mesec dni brez povezave, pa je pogost vir zmedenih napak pri pridružitvi.

Potrdite, da je domeno mogoče odkriti, ne le pingati

Pred poskusom pridružitve razrešite zapis LDAP SRV domene. Za ponazoritveno okolje z eno domeno z imenom ad.corp.example je poizvedba:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Vrnjeni zapis je potreben, a ne zadosten. Razrešite vsako navedeno ime DC in potrdite, da potrebne storitve dosežete skozi tunel. Ping na ime domene o odkrivanju ne dokaže skoraj ničesar.

Dovolite dokumentirane odvisnosti AD: preverjanje pristnosti, promet SMB in RPC ter sinhronizacijo časa. Vsako preverite glede na pravila požarnega zidu, ki ste jih dejansko uvedli. Objavljanje vrat krmilnika domene v internetu ni bližnjica, ki bi bila vredna premisleka.

Izvedite pridružitev in preberite napako

Uporabite podprti ukaz za pridružitev ali sistemsko pogovorno okno in zabeležite natančno besedilo napake. „Navedena domena ne obstaja ali je ni bilo mogoče kontaktirati“ kaže na odkrivanje ali dosegljivost, ne na poverilnice.

Če predmet z istim imenom že obstaja, ga ne izbrišite refleksno. Morda je vnaprej pripravljen račun, in utrjevanje netjoin omejuje nekatere primere ponovne uporabe glede na lastništvo in pravilnike. Prosite lastnika imenika, da predmet pregleda ali popravi.

Uspešna pridružitev je sredina, ne ciljna črta. Naslednji korak je tisti, ki ga uporabnik zares preizkusi.

Načrtujte prvo prijavo v domeno

Dokončana pridružitev ne ustvari predpomnjenih poverilnic za vsakega uporabnika domene. Na prvem zaslonu za prijavo prenosnik potrebuje pot do DC, preden se je prijavil kateri koli uporabnik. Če se vaš uporabniški VPN zažene šele po prijavi, te poti ni. To je vrzel v zasnovi, ne napaka odjemalca.

Za to prvo prijavo uporabite podprt potek pred prijavo ali tunel naprave, obstoječo pot do lokacije ali odobreno alternativo. Nato preizkusite celotno zaporedje: znova zaženite, dosezite zaslon s poverilnicami, prijavite se kot predvideni uporabnik domene in potrdite, da se tunel obnaša po načrtu.

Preklapljanje uporabnikov in obstojnost VPN se razlikujeta glede na odjemalca. Ne predpostavljajte, da bo povezava, začeta kot lokalni skrbnik, preživela v sejo drugega uporabnika.

Ohranite lokalni dostop za obnovitev

Pred predajo prenosnika ohranite odobreno lokalno pot za obnovitev. Če prva prijava v domeno ne uspe, želite pot nazaj, ki ni odvisna od istega tunela, ki je pravkar odpovedal.

Zapišite, kaj ste dokazali: razreševanje SRV, dosegljivost DC, napako pri pridružitvi, metodo prve prijave in račun za obnovitev. Ta zapis je razlika med ponovljivo gradnjo in prenosnikom, ki deluje samo v pisarni.