Innledning

Hvis du har fulgt med i denne artikkelserien, så vet du at jeg har brukt mye tid på å gå deg gjennom prosessen med å konfigurere Windows Server 2012 R2 for å tillate en arbeidsplass delta. Som med alle komplekse og tidkrevende prosedyre men ting kan og noen ganger går galt. Det å være tilfelle, jeg ønsket å bruke litt tid på å vise deg hvordan du feilsøker en mislykket arbeidsplass delta bare i tilfelle du ikke var ’. T stand til å få ting fungerer riktig i ditt eget miljø

Når det gjelder feilsøking et feil system, tror jeg at det er mest fornuftig å starte med å se etter de enkleste eller vanligste årsakene til problemene og deretter prøve ut mer forseggjorte fikser bare når enkle ting doesn ’. t arbeid

Bekreft Aktiv Directory Authentication

OK, dette kan man virke veldig opplagt, men det er også svært viktig, så jeg kommer til å gå videre og si det. En arbeidsplass delta kan ikke fungere hvis brukeren som forsøker å bli med Active Directory er å ha problemer med sin brukerkonto. Som du vil huske fra tidligere artikler, jeg satt opp en testkonto som heter Ole Olsen som jeg bruker for arbeidsplassen delta

Jeg kan ’. T virkelig teste denne kontoen ut på vår arbeidsstasjon datamaskin fordi det ikke er domene sluttet . Likevel må vi sørge for at kontoen fungerer. At det å være tilfelle, anbefaler jeg at du prøver å logge inn på domenekontrolleren. Du vant ’ t være i stand til å fullføre påloggingsprosessen fordi brukeren doesn ’ t har logge på lokalt tillatelser. Likevel, den meldingen du mottar er å fortelle. Meldingen vist i Figur A for eksempel, indikerer at det er et problem med kontoen (et dårlig passord i dette tilfellet), mens budskapet i figur B mer eller mindre bekrefter at legitimasjonen er gode.

Figur A: Denne meldingen indikerer at det er et problem med legitimasjon

Figur B:. Denne meldingen indikerer at legitimasjonen er gode

Se DNS Name Resolution

Den neste. ting som jeg anbefaler sjekking er å sørge for at DNS-navneløsning fungerer. Du bør være i stand til å pinge hver av dine servere ved hjelp av IP-adressen, og ved sin fullstendig domenenavn fra noen av de andre serverne som vi setter opp. Vellykket ping indikerer at DNS navneløsing arbeider innenfor Active Directory-miljø. Du kan se en rekke vellykkede ping i figur C.

Figur C:. Kontroller at serverne kan pinge hverandre med fullt kvalifisert domenenavn

Hvis du har problemer med ping det kan være på grunn av en DNS-problem, men det kan også være fordi brannmuren blokkerer ICMP trafikk. Du kan midlertidig justere eller deaktivere brannmuren før du kan bekrefte hvor problemet er.

En ting å huske på er at en vellykket ping test mellom servere betyr ikke nødvendigvis at navneløsing fungerer riktig for slutten brukerinnretning (i vårt tilfelle en Windows 8.1 PC). For sluttbrukeren enheten for å kunne utføre en arbeidsplass delta, må enheten være i stand til å løse navnet enterpriseregistration. ≪ domenenavnet >. .com

Som du kan se i figur D, den ping bør viderekoble til din ADFS server og deretter løses. For eksempel, gikk jeg PING enterpriseregistration.byod-lab.com og ping ble omdirigert til byod-adfs.byod-lab.com

Figur D:.. Klienten Maskinen skal kunne løse enterpriseregistration < domenenavnet >. .com

Kontroller sertifikat Trust

Som du så gjennom artiklene i denne serien, arbeidsplass delta er svært avhengig av sertifikater blir riktig konfigurert. Det å være tilfelle, det neste som jeg anbefaler å gjøre er å verifisere at klienten Enheten har klarert sertifiseringsinstansen som utstedte sertifikatene. Den enkleste måten å gjøre dette på er å opprette en sikker forbindelse til bedriften sertifiseringsinstans. Som du kanskje husker, jeg satt opp en virksomhet sertifiseringsinstans på min domenekontroller. Det å være tilfelle, nettadressen som jeg ville bruke er https://DC.BYOD-LAB.com/CertSRV.

Hvis klientmaskinen stoler foretaket sertifiseringsinstansen så bør du få en login prompt og du bør være i stand til å logge inn på sertifiseringsinstansen som administrator. Hvis tilliten ikke er konfigurert riktig så vil du motta en sertifikatfeil. Hvis du bruker Internet Explorer, vil adresselinjen blir rød for å indikere et problem med sertifikatet.

Kontroller hendelseslogger

Hvis du bruker en Windows 8 eller Windows RT enhet deretter neste ting som jeg anbefaler å gjøre er å ta en titt på hendelsesloggene. Tro det eller ei, det er faktisk en hendelseslogg for arbeidsplassen delta. Du kan få tilgang til loggene ved å åpne hendelseslisten og deretter navigere gjennom hendelsesloggene til applikasjoner og tjenester Logger | Microsoft | Vinduer | Arbeidsplass Bli med | Admin. Du kan se hvordan dette ser ut som i figur E.

Figur E: The Event Viewer inneholder en arbeidsplass Bli log

Som du kan se i figuren ovenfor, er det flere feil som indikerer det. arbeidsplassen bli med oppdagelsen har sviktet, og at en tilkobling med serveren ikke kan opprettes.

I denne type situasjon (som er veldig vanlig), det neste som jeg anbefaler å gjøre er å gå til fanen Detaljer. Som du kan se i figur F, viser kategorien Detaljer a Service URI. Dette URI er adressen som enheten bruker til å koble når du forsøker en arbeidsplass delta. I dette tilfelle er den tjenesten URI https://EnterpriseRegistration.BYOD-Lab.com:443/EnrollmentServer/Contract?api-version=1.0.

Figure F: Du må gå til hendelsen detaljruten for å hente Tjenesten URI

I denne typen situasjon, er det neste som jeg anbefaler å gjøre å åpne en nettleser og prøve å etablere en https-økt til. EnterpriseRegistration. < domenenavnet > .com. Hvis du får en 404-feil så betyr det at det er et problem med IIS og at klienten ikke kan finne innmelding nettstedet. Oftere derimot, vil du motta en siden ikke kan vises feil. Dette peker vanligvis til et sertifikat problem selv om leseren kanskje ikke eksplisitt sitere en sertifikatutstedelse.

Hvis du vil sjekke ut sertifikatet, åpner IIS Manager og klikk på navnet til serveren din. Deretter klikk på Server Certificates ikonet. Når du gjør det, bør du se navnet på sertifikatet som webserveren bruker. . Høyreklikk på sertifikatet, og klikk på Vis

Når sertifikatet vises, gå til detaljruten og se på sertifikatet ’ s emne. CN linje av faget skal samsvare med serveren ’ s fullstendige domenenavnene som vist i Figur G. Det bør også være et alternativt navn på emne enterpriseregistration. ≪ domenenavnet > .com. I mitt tilfelle dette emnet alternativt navn ville være enterpriseregistration.BYOD-Lab.com

Figur G:. Sertifikatet ’ s lagt navn skal sams serveren ’ s fullstendig domenenavn

If. alternativt navn på emne mangler eller hvis det er stavet feil (som det var på min server) da har du funnet problemet. Dessverre kan du ’ t legge til et emne alternativt navn til en eksisterende sertifikat. Du må be om et emne alternativt navn sertifikat fra virksomhetssertifikat autoritet og deretter legge til sertifikatet i IIS.

Konklusjon

I denne artikkelen har jeg vist deg hvordan du feilsøker noe av de fleste vanlige problemer med domene sammenføyninger. Så lenge sertifikatene er konfigurert riktig og DNS oppløsning fungerer som den skal bør du være i stand til å bli en enhet til enheten til Active Directory. Jada, ADFS og webserveren må være funksjonelle også, men vi testet de komponentene som vi setter dem opp tidligere i artikkelserien. Anmeldelser