เข้าร่วมโดเมนผ่าน VPN ของผู้ใช้ แล้วอยู่รอดจากการรีบูต

คุณสามารถทำการเข้าร่วมโดเมนผ่าน VPN แบบจุดถึงไซต์ได้ สิ่งที่การเชื่อมต่อนั้นมักทำไม่ได้คือการคงการเชื่อมต่อตลอดการรีบูตที่ตามมา ซึ่งเป็นช่วงที่ผู้ใช้โดเมนคนแรกพยายามลงชื่อเข้าใช้ ตอนนี้ผมดำเนินการเข้าร่วมเป็นสามขั้นตอน คือพิสูจน์เส้นทางและการค้นพบขณะที่ผู้ดูแลระบบภายในเครื่องลงชื่อเข้าใช้อยู่ ดำเนินการเข้าร่วม แล้วทดสอบการลงชื่อเข้าใช้โดเมนครั้งแรกก่อนส่งมอบแล็ปท็อป แต่ละขั้นตอนมีการทดสอบที่ล้มเหลวคนละจุด

การแยกขั้นตอนเหล่านี้ออกจากกันคือสิ่งที่ป้องกันไม่ให้โครงการจบลงด้วยแล็ปท็อปที่เข้าร่วมสำเร็จแต่ใช้งานไม่ได้

ก่อนเชื่อมต่อ: รุ่นซอฟต์แวร์ ผู้ดูแลระบบภายในเครื่อง DNS

เครื่องต้องการรุ่นที่รองรับการเข้าร่วมโดเมนและผู้ดูแลระบบภายในเครื่องที่ได้รับอนุญาตให้ดำเนินการ VPN ต้องทำงานในเซสชันเดียวกัน เพราะการเข้าร่วมทำงานในบริบทความปลอดภัยที่คุณใช้งานอยู่

ชี้ไคลเอนต์ไปที่ DNS ของไดเรกทอรีขององค์กร ไม่ใช่ตัวแก้ไขสาธารณะและไม่ใช่รายการในไฟล์ hosts การเข้าร่วมต้อง ค้นหาเรกคอร์ดบริการ แล้วเข้าถึงโฮสต์ที่เรกคอร์ดเหล่านั้นระบุ ชื่อต่อท้ายที่ล้าสมัยหรือตัวแก้ไขสาธารณะจะส่งการค้นพบไปที่อื่นโดยสิ้นเชิง

ตรวจสอบนาฬิกาด้วย Kerberos ไม่ทนต่อความคลาดเคลื่อนของเวลา และแล็ปท็อปที่ออฟไลน์มาหนึ่งเดือนเป็นสาเหตุทั่วไปของข้อผิดพลาดการเข้าร่วมที่สับสน

ยืนยันว่าโดเมนค้นพบได้ ไม่ใช่แค่ ping ได้

แปลงเรกคอร์ด LDAP SRV ของโดเมนก่อนลองเข้าร่วม สำหรับสภาพแวดล้อมตัวอย่างโดเมนเดียวชื่อ ad.corp.example คำถามคือ

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

เรกคอร์ดที่ส่งกลับมาจำเป็นแต่ไม่เพียงพอ แปลงชื่อ DC ทุกรายการที่ระบุและยืนยันว่าคุณเข้าถึงบริการที่จำเป็นผ่านอุโมงค์ได้ การ ping ชื่อโดเมนแทบไม่พิสูจน์อะไรเกี่ยวกับการค้นพบ

อนุญาตการพึ่งพา AD ที่เอกสารระบุไว้ ได้แก่ การพิสูจน์ตัวตน ทราฟฟิก SMB และ RPC รวมถึงการซิงโครไนซ์เวลา ตรวจสอบแต่ละรายการกับกฎไฟร์วอลล์ที่คุณใช้งานจริง การเผยพอร์ตของตัวควบคุมโดเมนสู่อินเทอร์เน็ตไม่ใช่ทางลัดที่คุ้มค่าจะพิจารณา

ดำเนินการเข้าร่วมและอ่านข้อผิดพลาด

ใช้คำสั่งเข้าร่วมที่รองรับหรือกล่องโต้ตอบของระบบ และบันทึกข้อความข้อผิดพลาดให้แม่นยำ «โดเมนที่ระบุไม่มีอยู่หรือติดต่อไม่ได้» บ่งชี้ถึงการค้นพบหรือการเข้าถึง ไม่ใช่ข้อมูลรับรอง

หากมีออบเจ็กต์ชื่อเดียวกันอยู่แล้ว อย่าลบตามสัญชาตญาณ อาจเป็นบัญชีที่เตรียมไว้ล่วงหน้า และ การเสริมความแข็งแกร่งของ netjoin จำกัดบางกรณีการนำกลับมาใช้ตามความเป็นเจ้าของและนโยบาย ขอให้เจ้าของไดเรกทอรีตรวจสอบหรือแก้ไขออบเจ็กต์นั้น

การเข้าร่วมที่สำเร็จคือจุดกึ่งกลาง ไม่ใช่เส้นชัย ขั้นตอนต่อไปคือสิ่งที่ผู้ใช้ทดสอบจริง

วางแผนการลงชื่อเข้าใช้โดเมนครั้งแรก

การเข้าร่วมที่เสร็จสมบูรณ์ไม่ได้สร้างข้อมูลรับรองที่แคชไว้สำหรับผู้ใช้โดเมนทุกคน บนหน้าจอลงชื่อเข้าใช้ครั้งแรก แล็ปท็อปต้องการเส้นทางไปยัง DC ก่อนที่ผู้ใช้คนใดจะลงชื่อเข้าใช้ หาก VPN ของผู้ใช้ของคุณเริ่มหลังการลงชื่อเข้าใช้เท่านั้น เส้นทางนั้นก็ไม่มี นี่คือช่องว่างในการออกแบบ ไม่ใช่บั๊กของไคลเอนต์

สำหรับการลงชื่อเข้าใช้ครั้งแรกนั้น ให้ใช้เวิร์กโฟลว์ก่อนการลงชื่อเข้าใช้หรืออุโมงค์อุปกรณ์ที่รองรับ เส้นทางไซต์ที่มีอยู่ หรือทางเลือกที่ได้รับอนุมัติ จากนั้นทดสอบลำดับทั้งหมด รีบูต ไปถึงหน้าจอข้อมูลรับรอง ลงชื่อเข้าใช้ในฐานะผู้ใช้โดเมนที่ต้องการ และยืนยันว่าอุโมงค์ทำงานตามที่ออกแบบไว้

การสลับผู้ใช้และความคงอยู่ของ VPN แตกต่างกันไปตามไคลเอนต์ อย่าสันนิษฐานว่าการเชื่อมต่อที่เริ่มในฐานะผู้ดูแลระบบภายในเครื่องจะคงอยู่ในเซสชันของผู้ใช้อื่น

เก็บการเข้าถึงการกู้คืนภายในเครื่องไว้

รักษาเส้นทางการกู้คืนภายในเครื่องที่ได้รับอนุมัติก่อนส่งมอบแล็ปท็อป หากการลงชื่อเข้าใช้โดเมนครั้งแรกล้มเหลว คุณต้องการทางกลับที่ไม่ขึ้นกับอุโมงค์เดิมที่เพิ่งล้มเหลว

จดบันทึกสิ่งที่คุณพิสูจน์ได้ การแปลง SRV การเข้าถึง DC ข้อผิดพลาดการเข้าร่วม วิธีการลงชื่อเข้าใช้ครั้งแรก และบัญชีกู้คืน บันทึกนั้นคือความแตกต่างระหว่างการสร้างที่ทำซ้ำได้กับแล็ปท็อปที่ทำงานได้เฉพาะในออฟฟิศ