Обеспокоенные машины находятся в VLAN, изолированной от внешних сайтов с помощью правила брандмауэра. Эти машины жестяная банка общаться с контроллерами домена. Аутентификация пользователя с компьютеров с Windows 10 Enterprise 2019 LTSC занимает две-три минуты. На машинах, работающих под управлением 1709 и 1803 в одной VLAN, проблема не возникает. Проблема с длительной аутентификацией наблюдается при первоначальном интерактивном входе в систему, подключении к удаленному рабочему столу и при использовании «Запуск от имени другого пользователя» для запуска приложения. Через 2 или 3 минуты вход в систему будет успешным.
Для устранения неполадок использовался захват пакетов. Захват пакетов показывает, что я считаю совершенно нормальным обменом Kerberos. Контроллер домена предоставляет рабочей станции билет, который кажется действительным для аутентифицирующего пользователя. Затем машина запросит в DNS имя login.microsoftonline.com. Следующие две или три минуты он будет пытаться подключиться к адресам этого сайта, которые намеренно заблокированы брандмауэром периметра. И, наконец, через 2 или 3 минуты между рабочей станцией и контроллером домена возникает некоторый RPC-трафик, который, похоже, завершает вход в систему.
Я думаю, мы должны иметь возможность аутентифицироваться без внешнего доступа в Интернет. Есть ли простой вариант конфигурации, который мне не хватает?
РЕДАКТИРОВАТЬ: сопоставил login.microsoftonline.com с 127.0.0.1 в файле hosts. Вход в систему завершается успешно и немедленно! Я бы не стал рассматривать это как решение, просто дополнительную информацию.
Получил разрешение через службу поддержки Microsoft. Возможно, когда-нибудь это будет полезно кому-то другому.
Поскольку эти машины имели доступ в Интернет, когда они были присоединены к домену, они были присоединены к Azure AD. Как только они были перемещены в изолированную сеть и больше не могли подключиться к облаку, мы обнаружили проблему. Чтобы покинуть Azure AD, но остаться присоединенным к локальному домену, используйте dsregcmd /leave. Документы для dsregcmd.