Jak diagnozować i rozwiązywać najczęstsze problemy w środowisku Azure AD + on-prem AD
Środowiska hybrydowe – łączące Azure AD / Entra ID z tradycyjną infrastrukturą on-prem Active Directory – stają się standardem w nowoczesnych organizacjach. Coraz więcej firm przechodzi na model Azure AD Joined lub Hybrid Joined, ale nadal wymaga dostępu do lokalnych zasobów: serwerów plików SMB, aplikacji intranetowych, drukarek czy baz danych.
I tu często zaczynają się schody.
Poniższy artykuł to kompleksowe omówienie najpopularniejszych problemów z dostępem do zasobów on-prem oraz dokładne wytłumaczenie przyczyn i mechanizmów, które za nimi stoją.
🔥 Typowe scenariusze problemów w środowisku hybrydowym
1) Komputery Azure AD Joined mają trudności z dostępem do zasobów lokalnych
Najczęściej objawia się to:
- brakiem dostępu do udziałów SMB (\serwer\udział),
- niemożnością uruchomienia intranetowych aplikacji,
- brakiem widoczności lokalnych drukarek,
- błędami logowania Kerberos lub NTLM.
2) Brak rozpoznawania DNS w środowiskach hybrydowych
Często zgłaszane objawy:
- aplikacje korzystające z nazw FQDN przestają się łączyć,
- komputer używa DNS z internetu zamiast lokalnego,
- split-tunnel VPN przepuszcza tylko ruch do części podsieci.
3) SMB lub Kerberos nie działają, jeśli komputer nie jest w domenie AD DS
Modele oparte tylko na Azure AD stwarzają problemy, ponieważ:
- Azure AD ≠ klasyczny Active Directory,
- Kerberos w on-prem AD wymaga komputera domenowego,
- bez klasycznego join nie działają tickety domenowe,
- fallback do NTLM jest często zablokowany z przyczyn bezpieczeństwa.
Microsoft przewidział rozwiązanie, ale… wymaga konfiguracji — Azure AD Kerberos.
⚡ Źródła problemów – co najczęściej nie działa?
Poniżej omawiam trzy najważniejsze obszary, które odpowiadają za 90% błędów w środowiskach hybrydowych.
🧩 1. Nieprawidłowa konfiguracja VPN (Always-On, split tunneling, routing)
4
Dostęp do zasobów on-prem dla urządzeń Azure AD Joined zwykle opiera się o VPN użytkownika, np.:
- Always-On VPN,
- Microsoft Intune + profile VPN,
- klasyczne agentowe VPN (Cisco, Fortinet, Pulse, GlobalProtect).
Najczęstsze błędy:
❌ Zły split tunneling lub jego brak
Komputer wysyła ruch do Internetu, ale nie do LAN.
➡ Objawy:
- brak dostępu do serwerów plików, baz danych, drukarek,
- brak rozpoznawania adresów .local,
- większość usług działa tylko po IP.
❌ DNS nie trafia do serwerów on-prem
VPN łaczy tunel, ale:
- używany jest DNS z internetu,
- zapytania lokalne (np. .corp.local) są odrzucane.
❌ Brak routingu do podsieci serwerowych
VPN daje tylko dostęp do sieci użytkowników, nie do serwerów.
❌ Brak Always-On
Użytkownik musi „kliknąć połączenie” — zanim to zrobi, usługi domenowe nie są dostępne.
🧩 2. Brak Azure AD Kerberos lub błędna konfiguracja SPN
Azure AD Kerberos to rozwiązanie, które umożliwia komputerom Azure AD Joined uwierzytelniać się do zasobów lokalnych bez bycia członkiem klasycznej domeny AD.
Jeśli Azure AD Kerberos nie jest skonfigurowane:
- dostęp do SMB często wymaga NTLM (często zablokowane),
- logowanie SSO do aplikacji intranetowych nie działa,
- użytkownicy otrzymują błędy:
0x80070035, 0x8009030c, „Access Denied”, „Nie można nawiązać sesji SMB”.
Najczęstsze błędy konfiguracji:
- brak utworzonego Azure AD Kerberos Server Object w AD,
- błędne lub brakujące SPN dla serwerów SMB i aplikacji,
- serwery wymagają Kerberos, ale klient nie ma ticketu TGT,
- domena korzysta ze starych kontrolerów domeny (brak wsparcia).
Azure AD Kerberos rozwiązuje większość problemów z:
- dostępem do serwerów plików,
- drukowaniem sieciowym,
- aplikacjami IIS wymagającymi autoryzacji domenowej,
- logowaniem SSO do zasobów on-prem.
🧩 3. Zbyt restrykcyjne polityki Conditional Access
To jeden z bardziej niedocenianych powodów problemów z dostępem.
❗ Conditional Access wpływa nie tylko na dostęp do chmury, ale także na:
- uzyskiwanie tokenów potrzebnych do logowania hybrydowego,
- działanie Azure AD Kerberos,
- dostęp do zasobów przez aplikacje Microsoft (Edge, OneDrive, Teams),
- mechanizmy uwierzytelnienia do sieci VPN.
Przykładowe problemy:
- blokowanie logowania, gdy urządzenie nie spełnia compliant,
- wymaganie MFA w sposób, który uniemożliwia automatyczne odświeżanie tokenów,
- blokowanie „Legacy Authentication”, gdy zasób on-prem jej wymaga,
- wymuszanie aplikacji zgodnych, blokujące dostęp z klientów SMB.
🧭 Jak diagnozować problemy z dostępem hybrydowym?
Najskuteczniejsza ścieżka diagnostyczna:
1. Sprawdź VPN
ipconfig /all– czy DNS wskazuje na serwery on-prem?route print– czy istnieje trasa do podsieci serwerowej?- Czy split tunneling obejmuje wszystkie potrzebne podsieci?
2. Sprawdź Kerberos
Na komputerze Azure AD Joined:
klist
Jeśli brak ticketów Kerberos → problem z Azure AD Kerberos.
3. Sprawdź DNS
nslookup serwer.corp.local– czy odpowiada poprawny DNS?- Czy VPN konfiguruje DNS suffix search list?
4. Sprawdź SPN
Na DC:
setspn -Q host/nazwa-serwera
Powinno wskazać poprawne konto komputera.
5. Sprawdź Azure AD Sign-In Logs
Czy Conditional Access nie blokuje uzyskania tokenu?
🛠️ Jak rozwiązać problemy — lista sprawdzająca (checklista)
✔ VPN
- Włącz split tunneling (lub doprecyzuj listę podsieci).
- Upewnij się, że DNS i routing obejmują wszystkie niezbędne zasoby.
- Wdróż Always-On VPN, aby komputer miał dostęp zanim zaloguje się użytkownik.
✔ DNS
- Wymuś używanie DNS on-prem przez politykę VPN.
- Dodaj suffix search list (np. corp.local, intra.local).
- Unikaj DNS publicznych typu 8.8.8.8 na urządzeniach firmowych.
✔ Kerberos / SMB
- Skonfiguruj Azure AD Kerberos.
- Zweryfikuj SPN dla serwerów plików i aplikacji.
- Upewnij się, że serwery obsługują Kerberos i nie wymuszają NTLM.
✔ Conditional Access
- Upewnij się, że zasady nie blokują aplikacji, które muszą działać lokalnie.
- Dodaj wyjątki dla „trusted locations” (np. adresy VPN).
- Nie blokuj protokołów, które są nadal wykorzystywane przez hybrydę (np. niektóre starsze aplikacje IIS lub SMB).
🎯 Podsumowanie
Dostęp do zasobów hybrydowych dla urządzeń Azure AD Joined jest możliwy, stabilny i bezpieczny — ale wymaga poprawnej konfiguracji trzech elementów:
👉 VPN (routing + DNS + Always-On)
👉 Azure AD Kerberos (SPN, delegacja, kompatybilne DC)
👉 Conditional Access (nie za restrykcyjne, z wyjątkami dla sieci firmowej)
Większość problemów w środowiskach hybrydowych to konsekwencja:
- braku spójnej konfiguracji,
- konfliktów między nową i starą infrastrukturą,
- błędnie działającego split tunnelingu,
- lub nieświadomej blokady przez polityki bezpieczeństwa.