Niềm tin miền hỏng sau một tháng ngoại tuyến? Hãy kiểm tra trước

Một laptop ở ngoài VPN sáu tuần, quay lại, và người dùng không đăng nhập được bằng tài khoản miền. Lỗi đề cập đến quan hệ tin cậy, nên ai đó đặt lại tài khoản máy tính, hoặc ép người dùng sang đường hầm đầy đủ, và vấn đề dường như biến mất. Không hành động nào chứng minh được điều gì đã hỏng. Một thành viên Windows có thể ở ngoại tuyến lâu hơn hẳn khoảng mật khẩu máy thông thường mà không tự động mất niềm tin, nên việc đầu tiên là tách lỗi khả năng tiếp cận khỏi sự không khớp thật của bí mật.

Lỗi trông giống niềm tin, nhưng ba trạng thái trông giống nhau

Người dùng có thể đăng nhập bằng thông tin miền được lưu trong bộ nhớ đệm, máy trạm có thể không tìm thấy bộ điều khiển miền, hoặc thành viên và miền có thể thực sự không đồng ý về tài khoản máy tính. Chỉ trường hợp thứ ba là quan hệ tin cậy bị hỏng theo nghĩa chặt chẽ.

Sức khỏe sao chép AD là quan sát thứ tư, và nó hoàn toàn không nói về máy trạm này. Nó mô tả sự đồng thuận giữa các bộ điều khiển miền, và một bảng điều khiển sao chép khỏe mạnh không chứng minh rằng bí mật cục bộ của máy này khớp với tài khoản máy tính của nó.

Giá trị mặc định 30 ngày quen thuộc là chính sách thay đổi, không phải hạn hết ngoại tuyến. Giải thích của Microsoft về mật khẩu tài khoản máy mô tả một quá trình thay đổi phối hợp, và tổ chức có thể cấu hình khoảng khác.

Biểu tượng VPN không chứng minh gì về kênh an toàn

Kết nối phải đủ tốt để đến được các dịch vụ miền trước khi bất kỳ bài kiểm tra nào có ý nghĩa. Điều đó có nghĩa là bộ phân giải DNS miền dự định, bộ điều khiển có thể tìm thấy, dịch vụ xác thực có thể tiếp cận và đồng hồ đủ gần cho Kerberos.

Đường hầm đầy đủ có thể là một thiết kế hoàn toàn hợp lý ở đây. Chuyển sang đường hầm chia tách không phải điều kiện tiên quyết cho quan hệ miền khỏe mạnh, và coi nó như vậy biến chẩn đoán thành thay đổi kiến trúc. Hãy kiểm tra bộ điều khiển nào máy trạm thực sự chọn, và giữ tên đó cùng với lỗi.

nltest /dsgetdc:corp.example.com
Test-ComputerSecureChannel -Verbose

Ghi lại máy chủ DNS, bộ điều khiển đã phân giải và văn bản lỗi chính xác. Một máy khách VPN báo đã kết nối cho bạn biết đường hầm tồn tại, không phải đường dẫn miền hoạt động. Một bộ điều khiển trả lời trên cổng Kerberos nhưng không trả lời trên cổng thư mục là phát hiện của tường lửa, không phải phát hiện của niềm tin.

Kiểm tra thành viên trước khi sửa nó

Trên một thành viên miền Windows được ủy quyền, Test-ComputerSecureChannel -Verbose là kiểm tra chỉ đọc kênh giữa máy và miền. Chạy nó trong ngữ cảnh của máy bạn đang điều tra, không phải từ bộ điều khiển miền, vốn có vai trò và quy tắc khôi phục khác. Ghi lại đầu ra và trạng thái thoát thay vì từ đạt hay hỏng. Nếu bản dựng đó không có cmdlet, mô-đun là vấn đề riêng.

Kết quả vẫn cần ngữ cảnh. Nếu máy không thể đến hoặc xác thực với bộ điều khiển đã chọn, một bài kiểm tra thất bại không phải bằng chứng độc lập rằng mật khẩu ngoại tuyến đã hết hạn. Giữ lỗi thực tế và bộ điều khiển đã dùng, và lặp lại bài kiểm tra khi đường dẫn được biết là tốt.

Tương quan các sự kiện Netlogon trên thành viên và trên bộ điều khiển liên quan quanh sự cố. Giữ tên máy, địa chỉ nguồn, thời gian và mọi bằng chứng về thay đổi tài khoản. Đăng nhập thành công của người dùng khác, hoặc bảng điều khiển bộ điều khiển khỏe mạnh, không thể thay thế trao đổi của máy này.

Chỉ sửa quan hệ bạn đã chứng minh

Khi kết nối ổn định và quản trị viên đã xác nhận việc sửa chữa là phù hợp, chế độ -Repair của cmdlet với thông tin đăng nhập được ủy quyền là một thao tác được hỗ trợ cho máy trạm thành viên. Nó thay đổi quan hệ, và nó không phải một bài kiểm tra chỉ đọc khác.

Chuẩn bị sẵn một tài khoản khôi phục cục bộ đã được phê duyệt và một đường quản lý trước khi thay đổi. Bộ điều khiển miền có vai trò khôi phục khác và quy trình này không được coi chúng như máy trạm thông thường. Hãy dùng quy trình khôi phục của tổ chức thay vì chạy nhiều công cụ đặt lại liên tiếp và hy vọng một trong số đó là đúng.

Sau khi sửa, xác minh một bài kiểm tra kênh an toàn mới và thao tác miền ban đầu. Giữ nguyên hồ sơ người dùng và trạng thái ứng dụng, và đừng biến việc gỡ-rồi-tham-gia-lại thành hành động đầu tiên không giải thích.

Cần kiểm tra gì khi lỗi quay lại

Nếu lỗi quay lại, hãy xem khôi phục, danh tính trùng lặp và thời điểm các thay đổi tài khoản thay vì đặt lại cùng tài khoản một lần nữa. Một ảnh được khôi phục, ảnh chụp nhanh, danh tính máy bị nhân bản, hoặc việc đặt lại tài khoản máy tính được thực hiện ở nơi khác đều đáng được điều tra.

Một lần đặt lại thành công tạm thời là bằng chứng khôi phục hữu ích, nhưng không phải bằng chứng rằng VPN chập chờn đã gây ra sự không khớp ban đầu. Lần xuất hiện tiếp theo mới cho bạn biết nguyên nhân đã từng được loại bỏ hay chưa.

Viết bộ điều khiển, máy chủ DNS và đầu ra bài kiểm tra vào phiếu. Chính bản ghi đó phân biệt một hỏng hóc niềm tin thật với một laptop đơn giản là không tìm thấy miền.