通过用户 VPN 加入域，并熬过重启

你可以通过点到站点 VPN 执行域加入。这条连接通常做不到的是：在随后那次重启期间保持连接，而第一次域用户正是要在那一刻登录。我现在把加入分成三个阶段：在本地管理员登录的状态下验证通路与发现，执行加入，然后在交付笔记本之前测试第一次域登录。每个阶段都有一个会在不同位置失败的测试。

把这三个阶段分开，才能避免项目最后交付一台已经成功加入、却根本用不了的笔记本。

连接之前：版本、本地管理员、DNS

这台机器需要支持域加入的版本，以及一位有权执行该操作的本地管理员。VPN 必须在同一个会话中处于连接状态，因为域加入是在你当前使用的安全上下文中运行的。

把客户端指向组织的目录 DNS，而不是公共解析器，也不是 hosts 文件里的条目。域加入需要找到服务记录，然后到达这些记录所指名的主机。过期的后缀或公共解析器会把发现过程引到完全不同的地方。

也要检查时钟。Kerberos 不能容忍时间偏差，而一台离线一个月的笔记本正是令人困惑的加入错误的常见来源。

确认域可以被发现，而不只是能 ping 通

在尝试加入之前，先解析该域的 LDAP SRV 记录。对于名为 ad.corp.example 的示例单域环境，查询是：

Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.corp.example

能返回记录是必要条件，但还不够。要解析它列出的每一个 DC 名称，并确认你能通过隧道访问所需的服务。对域名做 ping 几乎证明不了任何关于发现的事情。

放行有文档记录的 AD 依赖项：身份验证、SMB 与 RPC 流量，以及时间同步。逐项对照你实际部署的防火墙规则。把域控制器端口发布到互联网，并不是一条值得考虑的捷径。

执行加入，并读懂报错

使用受支持的加入命令或系统对话框，并记录准确的错误文本。“指定的域不存在或无法联系”指向的是发现或可达性，而不是凭据。

如果已经存在同名对象，不要条件反射地删除它。它可能是预先暂存的账户，而 netjoin 加固会依据所有权与策略限制部分复用情形。请让目录所有者检查或修正该对象。

成功加入只是中点，不是终点线。下一步才是用户真正会去测试的东西。

规划第一次域登录

加入完成并不会为每个域用户都创建缓存凭据。在第一次登录界面，笔记本在任何用户登录之前就需要一条通往 DC 的通路。如果你的用户 VPN 只在登录之后才启动，那条通路就不存在。这是设计缺口，不是客户端缺陷。

针对那第一次登录，改用受支持的登录前或设备隧道工作流、现有的站点通路，或经过批准的替代方案。然后测试完整流程：重启，进入凭据界面，以目标域用户登录，并确认隧道的表现符合设计。

用户切换与 VPN 的持续性因客户端而异。不要假设以本地管理员身份建立的连接会延续到另一个用户的会话中。

保留本地恢复访问

在交付笔记本之前，保留一条经过批准的本地恢复通路。如果第一次域登录失败，你需要一条不依赖刚刚失败的那条隧道的回头路。

把验证过的东西写下来：SRV 解析、DC 可达性、加入错误、第一次登录的方法，以及恢复账户。这份记录就是可重复构建与只能在办公室使用的笔记本之间的差别。