Контроллер домена (AD+DNS+DHCP) постоянные ошибки и предупреждение в событиях.

[TwoThrones]

Добрый день.

Имеется один контроллер домена на win64server2008std sp2 (dhcp+dns+ad поднимал по инструкции ссылка (http://www.oszone.net/10457/Windows-Server-2008-R2)) и ~30 рабочий станций на win32xppro sp3. В EventLog после перезагрузки сервера постоянно появляются предупреждение:

1. TerminalServices-PnPDevices 36
Перенаправление дополнительных поддерживаемых устройств запрещено политикой.

На контроллер RDP не поднят, на сервере отключена функция "поддерживаемые самонастраивающиеся устройства", а на клиентах не включена "поддерживаемые самонастраивающиеся устройства"

2. DHCP-Server 10020
Этому компьютеру назначен по крайней мере один динамический IPv6-адрес. Для надежной работы DHCPv6-сервера следует использовать только статические IPv6-адреса.

TCP/IPv6 не использую, в настройках сетевого адаптера убрал галочку. Пробовал fix it (http://support.microsoft.com/kb/929852/ru) не помогает.

3. ActiveDirectory_DomainService 2886
Безопасность данного сервера каталогов можно существенно повысить, если настроить его на отклонение привязок SASL (согласование, Kerberos, NTLM или выборка), которые не запрашивают подписи (проверки целостности) и простых привязок LDAP, которые выполняются для подключения LDAP с открытым (не зашифрованным SSL/TLS) текстом. Даже если никто из клиентов такие привязки не использует, настройка сервера на их отклонение улучшит безопасность этого сервера.

Использовал Fix it 50518 (http://support.microsoft.com/kb/935834) временно помогло но через некоторое время опять появилась предупреждение.

4. Windows Remote Management 10149
Служба WinRM не прослушивает запросы WS-Management.

Использовал команду winrm quickconfig не помогло. (иногда предупреждение не выскакивает)

***************
Microsoft Windows [Версия 6.0.6002]
(C) Корпорация Майкрософт, 2006. Все права защищены.

C:\Users\Администратор>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : Server
Основной DNS-суффикс . . . . . . : corp.xxxxxx.ru
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : corp.xxxxxx.ru
xxxxxx.ru

Ethernet adapter Подключение по локальной сети:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Intel(R) PRO/1000 EB Network Connection w
ith I/O Acceleration
Физический адрес. . . . . . . . . : 00-xx-xx-xx-xx-xx
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.0.3(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.0.1
DNS-серверы. . . . . . . . . . . : 127.0.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер Подключение по локальной сети*:

Состояние носителя. . . . . . . . : Носитель отключен
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : isatap.{18A62FAF-4FDD-4089-8B3F-3F027C7F1
A18}
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

C:\Users\Администратор>
Default Server: server.corp.xxxxxx.ru
Address: 192.168.0.3

> corp.xxxxxx.ru
Server: server.corp.xxxxxx.ru
Address: 192.168.0.3

Name: corp.xxxxxx.ru
Address: 192.168.0.3

>
***************

Подскажите пожалуйста решение проблемы?

P.S. Были еще предупреждение и ошибки но я уже их устранил.

[alef2474]

http://technet.microsoft.com/en-us/library/cc726951(v=ws.10).aspx
Verify
To verify that the DHCPv6 service is running:
At the DHCPv6 server computer, click Start, click Run, and then type cmd.
At the command prompt, type sc queryex dhcp.
The DHCPv6 Server service state should be displayed as RUNNING.

Используйте wireshark.

[TwoThrones]

http://technet.microsoft.com/en-us/library/cc726951%28v=ws.10%29.aspx

Если включу tcp/ipv6 в сетевом адаптере и пропишу ip, маску и днс, то предупреждение пропадет, но дело в том что я не использую ipv6

Microsoft Windows [Версия 6.0.6002]
(C) Корпорация Майкрософт, 2006. Все права защищены.

C:\Users\Администратор>sc queryex dhcp

Имя_службы: dhcp
Тип : 20 WIN32_SHARE_PROCESS
Состояние : 4 RUNNING
(STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
Код_выхода_Win32 : 0 (0x0)
Код_выхода_службы : 0 (0x0)
Контрольная_точка : 0x0
Ожидание : 0x0
ID_процесса : 988
Флаги :

C:\Users\Администратор>

[alef2474]

Вы не написали: для ipv4 DHCP должна на сервере работать?

[TwoThrones]

Вы не написали: для ipv4 DHCP должна на сервере работать?

Не совсем пойму вопроса. DHCP на сервере поднят и настроен на раздачу ipv4, нормально работает! ipv6 не использую и сервер не настроен на раздачу!!!

[alef2474]

Не совсем пойму вопроса. DHCP на сервере поднят и настроен на раздачу ipv4 »
Значит должна по-видимому. Я имел в виду, что раздавать адреса может не сервер, а какой-нибудь маршрутизатор, где часто dhcp встречается, тогда на сервере эту службу можно убрать и сообщения прекратятся.

1. TerminalServices-PnPDevices 36
Перенаправление дополнительных поддерживаемых устройств запрещено политикой.
На контроллер RDP не поднят, на сервере отключена функция "поддерживаемые самонастраивающиеся устройства", а на клиентах не включена "поддерживаемые самонастраивающиеся устройства" »

Посмотрите, что у Вас там в политике, может действительно запрещено:



Redirection of supported Plug and Play devices can be controlled by the following Group Policy settings:

The Do not allow supported Plug and Play device redirectionGroup Policy setting. This Group Policy setting is located in Computer Configuration\Administrative Templates\Windows Components\Terminal Services\Terminal Server\Device and Resource Redirection. Note that the Group Policy setting will take precedence over the setting configured in Terminal Services Configuration.
The Group Policy settings located in Computer Configuration\Administrative Templates\System\Device Installation\Device Installation Restrictions.

[TwoThrones]

Значит должна по-видимому. Я имел в виду, что раздавать адреса может не сервер, а какой-нибудь маршрутизатор, где часто dhcp встречается, тогда на сервере эту службу можно убрать и сообщения прекратятся. »

Есть 2 роутера, на них отключил DHCP (хотел ранее отключить но забыл).

тогда на сервере эту службу можно убрать и сообщения прекратятся. »

Судя по вашим словам можно вообще перейти обратно на рабочею группу и не парится.

Посмотрите, что у Вас там в политике, может действительно запрещено:»

Проверяю

[alef2474]

Судя по вашим словам можно вообще перейти обратно на рабочею группу и не парится. »
Использование DHCP от роутера, например, совсем не предполагает переход на рабочую группу, а просто неиспользование DHCP на сервере, где оно вам мешает.

[TwoThrones]

Использование DHCP от роутера, например, совсем не предполагает переход на рабочую группу, а просто неиспользование DHCP на сервере, где оно вам мешает. »

Долгое время сидел на рабочей группе, про dhcp на роутерах вообще не заморачивался (адреса прописывал вручную). Вот сейчас специально освободил один сервер под контроллер домена (AD+DNS+DHCP) и хочу полностью перейти с рабочей группы на домен. На счет DHCP, его буду использовать на сервере, на роутерах отключил!

Судя по вашим словам можно вообще перейти обратно на рабочею группу и не парится. »

я имел ввиду, что с настройкой домена тоже хватает проблем и чтоб их небыло простейший способ (судя по вашим словам) перейти обратно на рабочею группу.

[sadink]

1. TerminalServices-PnPDevices 36
Перенаправление дополнительных поддерживаемых устройств запрещено политикой. »
вы ж заходите на удалённый рабочий стол сервера. у вас запрещены все эти дела политикой, - вот он и пишет в журнал про это.
в свойствах соединения посмотрите в дополнительном на вкладке ресурсов, вероятно там галочка не отжата.
Либо это не вы заходите по rdp и тогда ищите кто заходит. //ага. никто никуда не заходит. просто запрещено политикой, - получите сообщение.

2. DHCP-Server 10020
Этому компьютеру назначен по крайней мере один динамический IPv6-адрес. Для надежной работы DHCPv6-сервера следует использовать только статические IPv6-адреса. »
1. у вас не две сетевые карты случайно? в одной вы отключили 6, в другой нет? //заглянул в ipconfig - не две.
2. пробовали снести и заново настроить dhcp? это дело нехитрое и быстрое
3. да и пусть пишет, в конце концов, вы в настройках v4 уверены? всё работает как надо? чего ж вам ещё? ))

3. ActiveDirectory_DomainService 2886
Безопасность данного сервера каталогов можно существенно повысить, если настроить его на отклонение привязок SASL (согласование, Kerberos, NTLM или выборка), которые не запрашивают подписи (проверки целостности) и простых привязок LDAP, которые выполняются для подключения LDAP с открытым (не зашифрованным SSL/TLS) текстом. Даже если никто из клиентов такие привязки не использует, настройка сервера на их отклонение улучшит безопасность этого сервера. »
Это просто рекомендация. У вас все клиенты заходят в домен с проверкой подписи? Сомневаюсь.

Плюньте и забудьте, короче ))

[TwoThrones]

вы ж заходите на удалённый рабочий стол сервера. у вас запрещены все эти дела политикой, - вот он и пишет в журнал про это.
в свойствах соединения посмотрите в дополнительном на вкладке ресурсов, вероятно там галочка не отжата.
Либо это не вы заходите по rdp и тогда ищите кто заходит. //ага. никто никуда не заходит. просто запрещено политикой, - получите сообщение. »

К контроллеру домена по rdp подключаюсь только я и в свойствах соединения стоит только галка буфер обмена. PnP всегда отключаю клиентов. На счет политике еще попробую.

1. у вас не две сетевые карты случайно? в одной вы отключили 6, в другой нет? //заглянул в ipconfig - не две.
2. пробовали снести и заново настроить dhcp? это дело нехитрое и быстрое
3. да и пусть пишет, в конце концов, вы в настройках v4 уверены? всё работает как надо? чего ж вам ещё? )) »

1.Вторая сетевуха отключена, но на всякий случай в ней тоже отключил tcp/ip6.
2.Переустанавливать роль не хочу так как некоторое на виртуалке висел тестовый DC и такая же проблема была. (переустанавливал не раз).
3.Ну да, работает пока гуд :)

У вас все клиенты заходят в домен с проверкой подписи? Сомневаюсь. »
Нет


Подробно завтра отпишусь!