Придружите се домену преко корисничког VPN-а и преживите поновно покретање

Придруживање домену можете извести преко VPN-а од тачке до локације. Оно што та веза обично не може јесте да остане успостављена током поновног покретања које следи, када први корисник домена покушава да се пријави. Сада пролазим кроз придруживање у три фазе: доказујем путању и откривање док је пријављен локални администратор, изводим придруживање, а затим тестирам прву пријаву на домен пре него што предам преносни рачунар. Свака фаза има тест који пада на другом месту.

Раздвајање тих фаза је оно што спречава да пројекат заврши преносним рачунаром који се успешно придружио и не може се користити.

Пре повезивања: издање, локални администратор, DNS

Рачунару је потребно издање које подржава придруживање домену и локални администратор овлашћен да то изведе. VPN мора бити активан у истој сесији, јер се придруживање изводи у безбедносном контексту који користите.

Усмерите клијента на DNS именика организације, а не на јавни резолвер и не на унос у датотеци hosts. За придруживање је потребно пронаћи записе услуга и затим доћи до хостова које ти записи именују. Застарели суфикс или јавни резолвер одводе откривање сасвим другде.

Проверите и сат. Kerberos не прашта разлику у времену, а преносни рачунар који је месец дана био ван мреже чест је извор збуњујућих грешака при придруживању.

Потврдите да домен може да се открије, а не само да се пингује

Разрешите LDAP SRV запис домена пре него што покушате придруживање. За илустративно окружење са једним доменом названим ad.corp.example, упит је:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Враћени запис је неопходан, али није довољан. Разрешите свако наведено име DC-а и потврдите да потребне услуге можете достићи кроз тунел. Ping на име домена не доказује готово ништа о откривању.

Дозволите документоване зависности AD-а: аутентификацију, SMB и RPC саобраћај и синхронизацију времена. Проверите сваку према правилима заштитног зида која сте стварно применили. Објављивање портова контролера домена на интернету није пречица вредна разматрања.

Изведите придруживање и прочитајте грешку

Користите подржану команду за придруживање или системски дијалог и забележите тачан текст грешке. „Наведени домен или не постоји или му се није могло приступити“ упућује на откривање или доступност, а не на акредитиве.

Ако објекат са истим именом већ постоји, не бришите га рефлексно. То може бити унапред припремљен налог, а ојачавање netjoin ограничава неке случајеве поновне употребе према власништву и политици. Замолите власника именика да прегледа или исправи објекат.

Успешно придруживање је средина, а не циљна линија. Следећи корак је онај који корисник заиста тестира.

Испланирајте прву пријаву на домен

Завршено придруживање не ствара кеширане акредитиве за сваког корисника домена. На првом екрану за пријаву преносном рачунару је потребна путања до DC-а пре него што се било који корисник пријавио. Ако ваш кориснички VPN почиње тек након пријаве, та путања недостаје. То је празнина у дизајну, а не грешка клијента.

За ту прву пријаву користите подржани ток пре пријаве или тунел уређаја, постојећу путању локације или одобрену алтернативу. Затим тестирајте цео низ: поново покрените, дођите до екрана акредитива, пријавите се као предвиђени корисник домена и потврдите да се тунел понаша како је пројектован.

Пребацивање корисника и постојаност VPN-а разликују се од клијента до клијента. Не претпостављајте да ће веза започета као локални администратор преживети у сесији другог корисника.

Сачувајте локални приступ за опоравак

Сачувајте одобрену локалну путању опоравка пре него што предате преносни рачунар. Ако прва пријава на домен не успе, желите начин да се вратите који не зависи од истог тунела који је управо отказао.

Запишите шта сте доказали: разрешавање SRV-а, доступност DC-а, грешку при придруживању, метод прве пријаве и налог за опоравак. Тај запис је разлика између поновљиве изградње и преносног рачунара који ради само у канцеларији.