lokalde olmayan bilgisayarları domaine dahil etme

Selamlar @ramazanisik-2 

Kullanıcıyı vpn bağlanmaya  mecbur  kılmanız gerekiyor bir  projede  benzer istek üzerine şöyle  bir  çözüm uygulamıştık kullanıcı  bilgisayarlarındaki  kaspersky endpoint üzerinde  public  ip  adreslerine  erişimler  için block  kuralı yazığ sadece  vpc ip  adreslerine  izin vermiştik . Kullanıcı  herhangi bir  wifi ye  bağlansa da  internet  erişimi  sağlayabilmek  için  mecburen  vpn bağlantısı  kuruyor idi. Ayrıca vpn  bağlantılarında  ip  adreslerini de  sabitlemiştik  her  bağlantıda  ip  adresleri  değişmemesi ve  doğal olarak  dns  kayıtlarında  sorun yaşamamak için.

Kullanıcı  oturumunu  açtığında  direkt  olarak  vpn  bağlansa  bile  kullanıcı  bir  şekilde  wifi yi  kapatarak veya  lan  kablosunu  çıkartarak  önüne  geçebilir  ancak  internet  kullanmak için  vpn  bağlantısını mecbur  kılarsanız  sürekli  olarak  vpn bağlantılarını  bağlayacaklardır.

Öncelikle domain' e almak için mutlaka bir vpn olması gerekli (Offline domain join var ama bu durumda yorucu olur).

VPN sonrasında ise logon öncesi windows için vpn tanımlı ise sorunsuz önce vpn çevirir sonra login olur ama vpn client olarak windows değilde başka bir ürün ise o zaman aşağıdaki gibi logon ekranı için bir eklentisinin olması güzel olur.

Use Connect Before Logon Followed by the Authentication Method (paloaltonetworks.com)

Bu sayede kullanıcı önce vpn çevirir sonra login olur.

Ya da Microsoft direct access deneyebilirsin.

Plan a Basic DirectAccess Deployment | Microsoft Docs

Plan an Advanced DirectAccess Deployment | Microsoft Docs

Deploy a Single DirectAccess Server Using the Getting Started Wizard | Microsoft Docs

Eğer bunların hiç birisi yok ise işiniz çok kolay değil.

Windows 10 Always on vpn deneyebilirsiniz

Always On VPN features | Microsoft Docs

Bunu MDM istiyorsanız Intune ile yapabilirsiniz.

Ama 3. parti MDM tarafında bir bilgim yok yani başka bir MDM agent bazlı bu işi yapıyor mu onuda MDM alacağınız firmalara sorun derim.

öncelikle ilginiz için çok teşekkür ederim , MDM uygulamaları oldukça pahalı bir çözüm , bahsettiğiniz uygulamaların hiç biri mevcut değil , biraz daha detaylı açıklayabilirseniz sevinirim 

fortigate frewall alıp clientlere client vpn uygulamasını yükleyip domaine dahil edebilir miyim acaba , @cumhurAltan sizede çok teşekkür ederim sizde biraz daha ayrıntı verebilir misiniz 

özellikle "vpc ip  adreslerine  izin vermiştik . Kullanıcı  herhangi bir  wifi ye  bağlansa da  internet  erişimi  sağlayabilmek  için  mecburen  vpn bağlantısı  kuruyor idi. Ayrıca vpn  bağlantılarında  ip  adreslerini de  sabitlemiştik  her  bağlantıda  ip  adresleri  değişmemesi ve  doğal olarak  dns  kayıtlarında  sorun yaşamamak için. " kısmını açabilirseniz 

Belirttiğiniz şekilde sihhatli bir vpn bağlantısının olması yeterlidir client deployment, yönetimi için. Hakan hocanın verdiği linkler oldukça ayrıntılı aslında.
Genellikle uygulama şöyledir laptoplar size gelir, domain'e dahil eder, vpn client ayarlamalarını yaparsınız. Akabinde nokta bağımsız vpn erişimleri yaptıkları müddetçe policy'lerinizi alır. Neyi log'lamak istediğiniz önemlidir. Cumhur hocanın dediği gibi merkeze erişimi mecburi bırakırsanız bazı süreçleri yönetebilirsiniz aksi halde 3rd uygulamalar gerekir kontrol için.
AD ve DNS makalelerini incelemeniz iyi olur. O kısım şu yüzden önemli seçeceğiniz vpn yapılandırmasına paralel olarak sabitlemediğinizde client ip 'ler değişeceğinden, domain dns üzerinden yürüdüğünden iki taraflı dns'in sihhatli yürümesi, kayıt güncellemelerinin alınabilmesi gerekir. Aksi halde erişim hataları biriktikçe client'lar domain den düşebilir.

Ramamzan bey ne yazık ki bütçe yok ise bu konuda sağlıklı bir çözüm de üretemezsiniz, MDM yok ise bu iş çok zor veya bahsettiğim konular öyle forumda detay vererek çözebileceğiniz konular değil ne yazık ki.

Yani biz bir yere kadar getrirsiniz, bir yerde takılırsınız tamam bir omuz atalım ama forumdan Direct Access kurdurmak çok mümkün değil. Özetle gönlünüz kurumsal bir çözüm istiyor ama anladığım kadarı ile şirketinizde bütçe yok, bu durumda bunu açık bir şekilde yöneticinize söylemeniz gerekli.

"Yani biz bir yere kadar getrirsiniz, bir yerde takılırsınız tamam bir omuz atalım ama forumdan Direct Access kurdurmak çok mümkün deği" bu konuda çok haklısınız @Hakan Uzuner kusura bakmayın , çok teşekkür ederim yardımlarınız yol gösterdiğiniz için , ayrıca size de teşekkür ederim @ibrahim yıldız 

Rica ederiz, anlayışınız için biz teşekkür ederiz.

Kolaylıklar.