Tham gia miền qua VPN của người dùng và sống sót qua lần khởi động lại

Bạn có thể thực hiện việc tham gia miền qua VPN điểm-tới-điểm. Điều mà kết nối đó thường không làm được là duy trì kết nối qua lần khởi động lại tiếp theo, khi người dùng miền đầu tiên cố gắng đăng nhập. Hiện tôi thực hiện việc tham gia theo ba giai đoạn: chứng minh đường đi và khám phá khi quản trị viên cục bộ đã đăng nhập, thực hiện tham gia, rồi kiểm tra lần đăng nhập miền đầu tiên trước khi bàn giao máy tính xách tay. Mỗi giai đoạn có một bài kiểm tra thất bại ở một chỗ khác nhau.

Việc tách các giai đoạn đó chính là điều ngăn dự án kết thúc bằng một chiếc máy đã tham gia thành công mà không dùng được.

Trước khi kết nối: ấn bản, quản trị viên cục bộ, DNS

Máy cần một ấn bản hỗ trợ tham gia miền và một quản trị viên cục bộ được ủy quyền thực hiện. VPN phải hoạt động trong cùng phiên đó, vì việc tham gia chạy trong ngữ cảnh bảo mật mà bạn đang dùng.

Trỏ máy khách tới DNS của thư mục tổ chức, không phải trình phân giải công cộng và không phải một mục trong tệp hosts. Việc tham gia cần tìm các bản ghi dịch vụ rồi đến được các máy chủ mà những bản ghi đó nêu tên. Một hậu tố cũ hoặc trình phân giải công cộng sẽ đẩy việc khám phá sang nơi hoàn toàn khác.

Cũng hãy kiểm tra đồng hồ. Kerberos không chấp nhận chênh lệch thời gian, và một máy tính xách tay ngoại tuyến cả tháng là nguồn lỗi tham gia khó hiểu thường gặp.

Xác nhận miền có thể được khám phá, không chỉ ping

Phân giải bản ghi LDAP SRV của miền trước khi thử tham gia. Với một môi trường minh họa một miền tên ad.corp.example, truy vấn là:

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

Bản ghi trả về là cần nhưng chưa đủ. Phân giải mọi tên DC mà nó liệt kê và xác nhận rằng bạn đến được các dịch vụ cần thiết qua đường hầm. Ping tới tên miền hầu như không chứng minh được gì về việc khám phá.

Cho phép các phụ thuộc AD đã được ghi tài liệu: xác thực, lưu lượng SMB và RPC, cùng đồng bộ thời gian. Kiểm tra từng mục với các quy tắc tường lửa mà bạn thực sự đã triển khai. Việc công bố cổng của bộ điều khiển miền ra internet không phải lối tắt đáng cân nhắc.

Chạy quá trình tham gia và đọc lỗi

Dùng lệnh tham gia được hỗ trợ hoặc hộp thoại hệ thống và ghi lại chính xác văn bản lỗi. «Miền đã chỉ định hoặc không tồn tại hoặc không thể liên hệ» cho thấy vấn đề khám phá hoặc khả năng tiếp cận, không phải thông tin đăng nhập.

Nếu đã có một đối tượng cùng tên, đừng xóa nó theo phản xạ. Đó có thể là tài khoản được chuẩn bị trước, và việc tăng cường netjoin hạn chế một số trường hợp tái sử dụng tùy theo quyền sở hữu và chính sách. Hãy đề nghị chủ sở hữu thư mục kiểm tra hoặc sửa đối tượng đó.

Tham gia thành công là điểm giữa, không phải vạch đích. Bước tiếp theo là bước mà người dùng thực sự kiểm tra.

Lên kế hoạch cho lần đăng nhập miền đầu tiên

Một lần tham gia hoàn tất không tạo ra thông tin đăng nhập được lưu đệm cho mọi người dùng miền. Ở màn hình đăng nhập đầu tiên, máy tính xách tay cần một đường tới DC trước khi bất kỳ người dùng nào đăng nhập. Nếu VPN người dùng của bạn chỉ khởi động sau khi đăng nhập, thì đường đó không có. Đây là lỗ hổng thiết kế, không phải lỗi máy khách.

Với lần đăng nhập đầu tiên đó, hãy dùng quy trình trước đăng nhập hoặc đường hầm thiết bị được hỗ trợ, một đường site hiện có, hoặc một phương án thay thế đã được phê duyệt. Sau đó kiểm tra toàn bộ trình tự: khởi động lại, đến màn hình thông tin đăng nhập, đăng nhập với tư cách người dùng miền dự kiến, và xác nhận rằng đường hầm hoạt động như thiết kế.

Việc chuyển người dùng và độ bền của VPN khác nhau tùy máy khách. Đừng cho rằng một kết nối bắt đầu với tư cách quản trị viên cục bộ sẽ tồn tại sang phiên của người dùng khác.

Giữ quyền truy cập khôi phục cục bộ

Giữ một đường khôi phục cục bộ đã được phê duyệt trước khi bàn giao máy. Nếu lần đăng nhập miền đầu tiên thất bại, bạn cần một đường quay lại không phụ thuộc vào chính đường hầm vừa hỏng.

Ghi lại những gì bạn đã chứng minh: phân giải SRV, khả năng tiếp cận DC, lỗi tham gia, phương thức đăng nhập đầu tiên và tài khoản khôi phục. Bản ghi đó là khác biệt giữa một bản dựng có thể lặp lại và một chiếc máy chỉ chạy được trong văn phòng.