Besimi i domenit dështoi pas një muaji offline? Kontrolloni fillimisht

Një laptop qëndron gjashtë javë jashtë VPN-së, kthehet, dhe përdoruesi nuk mund të hyjë me një llogari domeni. Gabimi përmend një marrëdhënie besimi, kështu që dikush rivendos llogarinë e kompjuterit, ose e detyron përdoruesin në tunel të plotë, dhe problemi duket se zhduket. Asnjëra nga veprimet nuk provoi çfarë ishte prishur. Një anëtar Windows mund të mbetet offline shumë përtej intervalit të zakonshëm të fjalëkalimit të makinës pa humbur besimin automatikisht, prandaj detyra e parë është të ndash një dështim arritshmërie nga një mospërputhje e vërtetë e sekretit.

Gabimi duket si besim, por tre gjendje duken njësoj

Përdoruesi mund të hyrë me informacion domeni të ruajtur në cache, stacioni i punës mund të mos gjejë një kontrollues domeni, ose anëtari dhe domeni mund të mos bien vërtet dakord për llogarinë e kompjuterit. Vetëm i treti është një marrëdhënie besimi e thyer në kuptimin e ngushtë.

Shëndeti i replikimit AD është vëzhgimi i katërt, dhe nuk ka të bëjë fare me këtë stacion pune. Ai përshkruan marrëveshjen midis kontrolluesve të domenit, dhe një panel i shëndetshëm replikimi nuk provon që sekreti lokal i kësaj makine përputhet me llogarinë e saj të kompjuterit.

Vlera e njohur e parazgjedhur prej 30 ditësh është një politikë ndryshimi, jo një afat skadimi offline. Shpjegimi i Microsoft për fjalëkalimin e llogarisë së makinës përshkruan një proces të koordinuar ndryshimi, dhe një organizatë mund të konfigurojë një interval tjetër.

Një ikonë VPN nuk provon asgjë për kanalin e sigurt

Lidhshmëria duhet të jetë mjaft e mirë për të arritur shërbimet e domenit para se çdo test të thotë diçka. Kjo do të thotë zgjidhësi DNS i domenit të synuar, një kontrollues i gjetshëm, shërbime vërtetimi të arritshme dhe një orë mjaft e afërt për Kerberos.

Tuneli i plotë mund të jetë një dizajn plotësisht i vlefshëm këtu. Kalimi në tunel të ndarë nuk është parakusht për një marrëdhënie të shëndetshme me domenin, dhe trajtimi i tij si i tillë e kthen diagnozën në një ndryshim arkitekture. Kontrolloni cilin kontrollues zgjedh vërtet stacioni i punës, dhe mbani atë emër me gabimin.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Shënoni serverin DNS, kontrolluesin e zgjidhur dhe tekstin e saktë të gabimit. Një klient VPN që raporton i lidhur ju thotë se tuneli ekziston, jo se rruga e domenit funksionon. Një kontrollues që përgjigjet në portën Kerberos por jo në portën e drejtorisë është një gjetje muri zjarri, jo një gjetje besimi.

Testoni anëtarin para se ta riparoni

Në një anëtar domeni Windows të autorizuar, Test-ComputerSecureChannel -Verbose është një kontroll vetëm-lexim i kanalit midis makinës dhe domenit. Ekzekutoni atë në kontekstin e makinës që po hetoni, jo nga një kontrollues domeni, i cili ka rol tjetër dhe rregulla të tjera rikuperimi. Regjistroni daljen dhe statusin e daljes në vend të fjalës kaloi ose dështoi. Nëse cmdlet-i mungon në atë ndërtim, moduli është një problem i veçantë.

Rezultati ende ka nevojë për kontekst. Nëse makina nuk mund të arrijë ose të vërtetohet në kontrolluesin e zgjedhur, një test i dështuar nuk është provë e pavarur që një fjalëkalim offline ka skaduar. Mbani gabimin aktual dhe kontrolluesin e përdorur, dhe përsëritni testin kur rruga të jetë e njohur e mirë.

Korreloni ngjarjet Netlogon në anëtar dhe në kontrolluesin përkatës rreth incidentit. Ruani emrin e makinës, adresën burimore, kohën dhe çdo provë të ndryshimit të llogarisë. Një hyrje e suksesshme e një përdoruesi tjetër, ose një panel i shëndetshëm kontrolluesi, nuk mund të zëvendësojë shkëmbimin e kësaj makine.

Riparoni vetëm marrëdhënien që keni provuar

Pasi lidhshmëria të jetë e qëndrueshme dhe një administrator të ketë konfirmuar se një riparim është i përshtatshëm, modaliteti -Repair i cmdlet-it me kredenciale të autorizuara është një operacion i mbështetur për një stacion pune anëtar. Ai ndryshon marrëdhënien, dhe nuk është një test tjetër vetëm-lexim.

Mbani gati një llogari lokale rikuperimi të miratuar dhe një rrugë administrimi para ndryshimit. Kontrolluesit e domenit kanë rol tjetër rikuperimi dhe kjo procedurë nuk duhet t'i trajtojë ata si stacione pune të zakonshme. Përdorni rrjedhën e rikuperimit të organizatës në vend që të ekzekutoni disa mjete rivendosjeje me radhë dhe të shpresoni që njëri prej tyre është i saktë.

Pas riparimit, verifikoni një test të ri të kanalit të sigurt dhe operacionin origjinal të domenit. Ruani profilet e përdoruesve dhe gjendjen e aplikacioneve, dhe mos e bëni heqjen-dhe-ribashkimin veprimin e parë të pashpjeguar.

Çfarë të kontrolloni kur dështimi kthehet

Nëse dështimi kthehet, shikoni kthimin pas, identitetin e dyfishtë dhe kohën e ndryshimeve të llogarisë në vend që të rivendosni përsëri të njëjtën llogari. Një imazh i rikthyer, një fotografi gjendjeje, një identitet makine i klonuar ose një rivendosje e llogarisë së kompjuterit e bërë diku tjetër të gjitha meritojnë hetim.

Një rivendosje e suksesshme e përkohshme është provë e dobishme rikuperimi, por nuk është provë që një VPN i ndërprerë shkaktoi mospërputhjen origjinale. Ndodhja tjetër është ajo që ju thotë nëse shkaku u hoq ndonjëherë.

Shkruani kontrolluesin, serverin DNS dhe daljen e testit në biletë. Ai regjistrim është ai që dallon një dështim të vërtetë besimi nga një laptop që thjesht nuk mundi të gjente domenin.