Bir ay çevrimdışı kaldıktan sonra etki alanı güveni bozuldu mu? Önce kontrol edin

Bir dizüstü bilgisayar altı hafta VPN dışında kalır, geri döner ve kullanıcı etki alanı hesabıyla oturum açamaz. Hata bir güven ilişkisinden söz eder, bu yüzden biri bilgisayar hesabını sıfırlar veya kullanıcıyı tam tünele zorlar ve sorun ortadan kalkmış görünür. İki eylemden hiçbiri neyin bozuk olduğunu kanıtlamadı. Bir Windows üyesi, olağan makine parolası aralığının çok ötesinde çevrimdışı kalabilir ve güveni otomatik olarak kaybetmez, bu nedenle ilk iş erişilebilirlik hatasını gerçek bir sır uyuşmazlığından ayırmaktır.

Hata güven gibi görünüyor, ancak üç durum birbirine benziyor

Kullanıcı önbelleğe alınmış etki alanı bilgileriyle oturum açabilir, iş istasyonu bir etki alanı denetleyicisi bulamayabilir veya üye ile etki alanı bilgisayar hesabı konusunda gerçekten anlaşmazlık yaşayabilir. Yalnızca üçüncüsü dar anlamda bozulmuş bir güven ilişkisidir.

AD çoğaltma sağlığı dördüncü gözlemdir ve bu iş istasyonuyla hiç ilgili değildir. Etki alanı denetleyicileri arasındaki anlaşmayı tanımlar ve sağlıklı bir çoğaltma panosu bu makinenin yerel sırrının bilgisayar hesabıyla eşleştiğini kanıtlamaz.

Tanıdık 30 günlük varsayılan bir değişiklik ilkesidir, çevrimdışı sona erme tarihi değildir. Microsoft'un makine hesabı parolası açıklaması eşgüdümlü bir değişiklik sürecini tanımlar ve bir kuruluş farklı bir aralık yapılandırabilir.

Bir VPN simgesi güvenli kanal hakkında hiçbir şey kanıtlamaz

Herhangi bir test anlamlı olmadan önce bağlantı etki alanı hizmetlerine ulaşacak kadar iyi olmalıdır. Bu, amaçlanan etki alanı DNS çözümleyicisi, bulunabilir bir denetleyici, erişilebilir kimlik doğrulama hizmetleri ve Kerberos için yeterince yakın bir saat anlamına gelir.

Tam tünel burada tamamen geçerli bir tasarım olabilir. Bölünmüş tünele geçmek sağlıklı bir etki alanı ilişkisi için ön koşul değildir ve bunu ön koşul saymak bir tanıyı mimari değişikliğe dönüştürür. İş istasyonunun gerçekte hangi denetleyiciyi seçtiğini kontrol edin ve o adı hatayla birlikte saklayın.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

DNS sunucusunu, çözümlenen denetleyiciyi ve hatanın tam metnini not edin. Bağlı olduğunu bildiren bir VPN istemcisi tünelin var olduğunu söyler, etki alanı yolunun çalıştığını değil. Kerberos bağlantı noktasında yanıt verip dizin bağlantı noktasında vermeyen bir denetleyici güvenlik duvarı bulgusudur, güven bulgusu değildir.

Üyeyi onarmadan önce test edin

Yetkili bir Windows etki alanı üyesinde Test-ComputerSecureChannel -Verbose, makine ile etki alanı arasındaki kanalın salt okunur denetimidir. İncelediğiniz makinenin bağlamında çalıştırın, farklı role ve farklı kurtarma kurallarına sahip bir etki alanı denetleyicisinden değil. Başarılı veya başarısız sözcüğü yerine çıktıyı ve çıkış durumunu kaydedin. Cmdlet o derlemede yoksa modül ayrı bir sorundur.

Sonucun hâlâ bağlama ihtiyacı var. Makine seçilen denetleyiciye ulaşamıyor veya orada kimlik doğrulaması yapamıyorsa, başarısız bir test çevrimdışı parolanın süresinin dolduğuna dair bağımsız bir kanıt değildir. Gerçek hatayı ve kullanılan denetleyiciyi saklayın ve yol bilinen iyi olduğunda testi yineleyin.

Olay çevresinde üye ve ilgili denetleyici üzerindeki Netlogon olaylarını ilişkilendirin. Makine adını, kaynak adresi, saati ve hesap değişikliğine dair her türlü kanıtı koruyun. Başka bir kullanıcının başarılı oturum açması veya sağlıklı bir denetleyici panosu bu makinenin alışverişinin yerini tutamaz.

Yalnızca kanıtladığınız ilişkiyi onarın

Bağlantı kararlı olduğunda ve bir yönetici onarımın uygun olduğunu doğruladığında, cmdlet'in yetkili kimlik bilgileriyle -Repair modu üye iş istasyonu için desteklenen tek bir işlemdir. İlişkiyi değiştirir ve bir başka salt okunur test değildir.

Değişiklikten önce onaylanmış bir yerel kurtarma hesabı ve bir yönetim yolu hazır bulundurun. Etki alanı denetleyicileri farklı bir kurtarma rolüne sahiptir ve bu yordam onları sıradan iş istasyonları olarak görmemelidir. Birkaç sıfırlama aracını art arda çalıştırıp birinin doğru olduğunu ummak yerine kuruluşun kurtarma iş akışını kullanın.

Onarımdan sonra yeni bir güvenli kanal testini ve özgün etki alanı işlemini doğrulayın. Kullanıcı profillerini ve uygulama durumunu koruyun ve kaldırıp yeniden katılmayı ilk açıklanamayan eylem yapmayın.

Arıza geri geldiğinde neler kontrol edilmeli

Arıza geri gelirse, aynı hesabı yeniden sıfırlamak yerine geri alma, çift kimlik ve hesap değişikliklerinin zamanlamasına bakın. Geri yüklenmiş bir imaj, anlık görüntü, klonlanmış makine kimliği veya başka bir yerde yapılmış bilgisayar hesabı sıfırlaması hepsi araştırmayı hak eder.

Geçici olarak başarılı bir sıfırlama yararlı bir kurtarma kanıtıdır, ancak aralıklı bir VPN'in özgün uyuşmazlığa neden olduğunun kanıtı değildir. Nedenin hiç ortadan kaldırılıp kaldırılmadığını size bir sonraki olay söyler.

Denetleyiciyi, DNS sunucusunu ve test çıktısını bilete yazın. Gerçek bir güven arızasını yalnızca etki alanını bulamayan bir dizüstü bilgisayardan ayıran şey o kayıttır.