Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2016/2019 » 2016 - Периодически нельзя войти в домен.

Ответить
Настройки темы
2016 - Периодически нельзя войти в домен.

Новый участник


Сообщения: 34
Благодарности: 0

Профиль | Отправить PM | Цитировать


Изменения
Автор: Deminart
Дата: 23-01-2019
Описание: upd
Всем привет!

После обновления уровня домена\леса с 2003 до 2016, стали отваливаться сессии, т.е. под доменной учёткой нельзя зайти в домен, ПК при этом из домена не выкидывает. Помогает перезагрузка, особенно это конечно “доставляет” на боевых серверах, на линуксовых в т.ч.…

Обновление проводилось поэтапно. Сначала были введены 2016 серверы с последующей передачей прав глобального каталога и тп, выводом и понижением до рядовых серверов старых кд. Уровень домена и леса оставался 2003. Проработав в таком режиме пару месяцев был начат процесс повышения уровня домена\леса до 2016. С 2003,2003R2, 2008, 2008R2 и тд до 2016. Никаких прыжков с 2003 сразу до 2016 не было.

Миграцию делал в основном по этому мануалу: https://habr.com/ru/company/microsoft/blog/245667/

По ивентам пробегал не один раз, в основном по тем ошибкам что есть, ведут к проблемам в ДНСах…Якобы есть дубли и тп, сейчас всё почистил, в одной подсети действительно был дубль одного из КД, но это проблему не решило…

Ошибки

Клиент Kerberos получил ошибку KRB_AP_ERR_MODIFIED с сервера kd1$. Использовалось целевое имя ldap/KD1.my-dmn.rarus-s.ru/my-dmn.rarus-s.ru@my-dmn.rarus-s.ru. Это означает, что целевому серверу не удалось расшифровать билет, предоставленный клиентом. Это возможно, когда целевое SPN-имя зарегистрировано на учетную запись, отличную от учетной записи, используемой конечной службой. Убедитесь, что целевое SPN-имя зарегистрировано только на учетную запись, используемую сервером. Эта ошибка также может возникать, если пароль целевой службы отличается от пароля, заданного для нее в центре распространения ключей Kerberos. Убедитесь, что пароли в службе на сервере и в центре распространения ключей совпадают. Если имя сервера задано не полностью и конечный домен (my-dmn.rarus-s.ru) отличается от домена клиента (my-dmn.rarus-s.ru), проверьте эти два домена на наличие учетных записей серверов с одинаковыми именами или используйте для идентификации сервера полное имя.



Не удалось установить сеанс с компьютера "VIPNET", так как указанная компьютером учетная запись доверия "VIPNET$" отсутствует в базе данных безопасности.

Действие пользователя
Если такое событие произошло впервые для данного компьютера и данной учетной записи, возможно, это временное состояние, не требующее выполнения каких-либо действий в данный момент. Если это контроллер домена только для чтения, а "VIPNET$" является действительной учетной записью компьютера "VIPNET", то "VIPNET" следует отметить как снабженный кэшем для этой папки при необходимости или в противном случае обеспечить возможность подключения к контроллеру домена при обслуживании запроса (например, контроллера домена, доступного для записи). В противном случае для устранения ошибки можно предпринять следующие шаги.r

Если "VIPNET$" - действительная учетная запись компьютера "VIPNET", то "VIPNET" следует вновь присоединить к домену.

Если "VIPNET$" - действительная учетная запись междоменного доверия, следует восстановить это отношение доверия.

В противном случае (т. е. если "VIPNET$" не является действительной учетной записью) необходимо выполнить следующие действия для компьютера "VIPNET".

Если "VIPNET" - контроллер домена, удалите отношение доверия, связанное с "VIPNET$".

Если "VIPNET" не является контроллером домена, исключите его из состава домена.

По ошибкам нашёл пару политик которые хочу применить, хз будет ли от них смысл…

https://support.microsoft.com/ru-ru/...r-accesses-a-s

https://support.microsoft.com/ru-ru/...ws-server-2008

Единственное меня напрягает в ДНСах, задвоения служб, с разницой в отметки времени, обычным и КАПСОВЫМ именем. Есть такие не только как на скрине в _tcp, но и в _msdcs и в gc и тд…

Дубли


nslookup с KD1 (172.16.1.254)

C:\Windows\System32>nslookup my-dmn.rarus-s.ru
╤хЁтхЁ: KD2.my-dmn.rarus-s.ru
Address: 192.168.1.254

╚ь*: my-dmn.rarus-s.ru
Addresses: 172.16.1.254
172.16.1.0
192.168.1.254


C:\Windows\System32>nslookup kd1.my-dmn.rarus-s.ru
╤хЁтхЁ: KD2.my-dmn.rarus-s.ru
Address: 192.168.1.254

╚ь*: kd1.my-dmn.rarus-s.ru
Address: 172.16.1.254


C:\Windows\System32>nslookup kd2.my-dmn.rarus-s.ru
╤хЁтхЁ: KD2.my-dmn.rarus-s.ru
Address: 192.168.1.254

╚ь*: kd2.my-dmn.rarus-s.ru
Address: 192.168.1.254


ipconfig с KD1

C:\Windows\System32>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : KD1
Основной DNS-суффикс . . . . . . : my-dmn.rarus-s.ru
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : my-dmn.rarus-s.ru

Адаптер Ethernet Ethernet:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Intel(R) 82574L Gigabit Network Connection
Физический адрес. . . . . . . . . : 00-0C-29-16-BE-33
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::acf8:110c:79ed:d098%5(Основной)
IPv4-адрес. . . . . . . . . . . . : 172.16.1.254(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 172.16.1.1
IAID DHCPv6 . . . . . . . . . . . : 33557545
DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-22-8A-CC-79-00-0C-29-16-BE-33
DNS-серверы. . . . . . . . . . . : 192.168.1.254
172.16.1.254
127.0.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{237BE9D0-21BD-4D47-8063-85C9C8282302}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Microsoft ISATAP Adapter
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

C:\Windows\System32>


ipconfig с KD2

C:\Windows\System32>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : KD2
Основной DNS-суффикс . . . . . . : my-dmn.rarus-s.ru
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : my-dmn.rarus-s.ru

Адаптер Ethernet Ethernet:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Физический адрес. . . . . . . . . : 6C-F0-49-74-F0-46
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::7489:7459:f018:909d%2(Основной)
IPv4-адрес. . . . . . . . . . . . : 192.168.1.254(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.1.7
IAID DHCPv6 . . . . . . . . . . . : 40693833
DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-23-97-D6-21-6C-F0-49-74-F0-46
DNS-серверы. . . . . . . . . . . : 172.16.1.254
192.168.1.254
127.0.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{1479BC20-EB1F-4A28-BDE5-22A7A95B284D}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Microsoft ISATAP Adapter
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да


nslookup с KD2 (192.168.1.254)

C:\Windows\System32>nslookup my-dmn.rarus-s.ru
╤хЁтхЁ: KD1.my-dmn.rarus-s.ru
Address: 172.16.1.254

╚ь*: my-dmn.rarus-s.ru
Addresses: 192.168.1.254
172.16.1.0
172.16.1.254


C:\Windows\System32>nslookup kd1.my-dmn.rarus-s.ru
╤хЁтхЁ: KD1.my-dmn.rarus-s.ru
Address: 172.16.1.254

╚ь*: kd1.my-dmn.rarus-s.ru
Address: 172.16.1.254


C:\Windows\System32>nslookup kd2.my-dmn.rarus-s.ru
╤хЁтхЁ: KD1.my-dmn.rarus-s.ru
Address: 172.16.1.254

╚ь*: kd2.my-dmn.rarus-s.ru
Address: 192.168.1.254


dcdiag

C:\Windows\System32>dcdiag

Диагностика сервера каталогов

Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = KD1
* Определен лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Сервер проверки: Default-First-Site-Name\KD1
Запуск проверки: Connectivity
......................... KD1 - пройдена проверка Connectivity

Выполнение основных проверок

Сервер проверки: Default-First-Site-Name\KD1
Запуск проверки: Advertising
......................... KD1 - пройдена проверка Advertising
Запуск проверки: FrsEvent
......................... KD1 - пройдена проверка FrsEvent
Запуск проверки: DFSREvent
......................... KD1 - пройдена проверка DFSREvent
Запуск проверки: SysVolCheck
......................... KD1 - пройдена проверка SysVolCheck
Запуск проверки: KccEvent
......................... KD1 - пройдена проверка KccEvent
Запуск проверки: KnowsOfRoleHolders
......................... KD1 - пройдена проверка KnowsOfRoleHolders
Запуск проверки: MachineAccount
......................... KD1 - пройдена проверка MachineAccount
Запуск проверки: NCSecDesc
......................... KD1 - пройдена проверка NCSecDesc
Запуск проверки: NetLogons
......................... KD1 - пройдена проверка NetLogons
Запуск проверки: ObjectsReplicated
......................... KD1 - пройдена проверка ObjectsReplicated
Запуск проверки: Replications
......................... KD1 - пройдена проверка Replications
Запуск проверки: RidManager
......................... KD1 - пройдена проверка RidManager
Запуск проверки: Services
......................... KD1 - пройдена проверка Services
Запуск проверки: SystemLog
......................... KD1 - пройдена проверка SystemLog
Запуск проверки: VerifyReferences
......................... KD1 - пройдена проверка VerifyReferences


Выполнение проверок разделов на: ForestDnsZones
Запуск проверки: CheckSDRefDom
......................... ForestDnsZones - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... ForestDnsZones - пройдена проверка CrossRefValidation

Выполнение проверок разделов на: DomainDnsZones
Запуск проверки: CheckSDRefDom
......................... DomainDnsZones - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... DomainDnsZones - пройдена проверка CrossRefValidation

Выполнение проверок разделов на: Schema
Запуск проверки: CheckSDRefDom
......................... Schema - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Schema - пройдена проверка CrossRefValidation

Выполнение проверок разделов на: Configuration
Запуск проверки: CheckSDRefDom
......................... Configuration - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Configuration - пройдена проверка CrossRefValidation

Выполнение проверок разделов на: my-dmn
Запуск проверки: CheckSDRefDom
......................... my-dmn - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... my-dmn - пройдена проверка CrossRefValidation

Выполнение проверок предприятия на: my-dmn.ru
Запуск проверки: LocatorCheck
......................... my-dmn.rarus-s.ru - пройдена проверка LocatorCheck
Запуск проверки: Intersite
......................... my-dmn.rarus-s.ru - пройдена проверка Intersite

C:\Windows\System32>

dcdiag /a /q (на данный момент ничего не показывает)

REPADMIN /REPLSUM

C:\Windows\System32>REPADMIN /REPLSUM
Время запуска сводки по репликации: 2019-01-23 09:43:58

Начат сбор данных для сводки по репликации, подождите:
.....


Исходный DSA наиб. дельта сбоев/всего %% ошибка
KD1 52m:03s 0 / 5 0
KD2 57m:28s 0 / 5 0


Конечный DSA наиб. дельта сбои/всего %% ошибка
KD1 57m:28s 0 / 5 0
KD2 52m:03s 0 / 5 0

REPADMIN /SHOWREPL

C:\Windows\System32>REPADMIN /SHOWREPL

Repadmin: выполнение команды /SHOWREPL контроллере домена localhost с полным доступом
Default-First-Site-Name\KD1
Параметры DSA: IS_GC
Параметры сайта: (none)
DSA - GUID объекта: 84179638-92b4-4061-b101-2c6a1a31ed25
DSA - код вызова: b722b773-4bae-45c9-98a8-8b0bf8211b3b

==== ВХОДЯЩИЕ СОСЕДИ ======================================

DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:44:27 успешна.

CN=Configuration,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 08:46:30 успешна.

CN=Schema,CN=Configuration,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 08:46:30 успешна.

DC=DomainDnsZones,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 08:46:30 успешна.

DC=ForestDnsZones,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 08:46:30 успешна.

REPADMIN /SHOWREPS

C:\Windows\System32>REPADMIN /SHOWREPS
Default-First-Site-Name\KD1
Параметры DSA: IS_GC
Параметры сайта: (none)
DSA - GUID объекта: 84179638-92b4-4061-b101-2c6a1a31ed25
DSA - код вызова: b722b773-4bae-45c9-98a8-8b0bf8211b3b

==== ВХОДЯЩИЕ СОСЕДИ ======================================

DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:48:22 успешна.

CN=Configuration,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:46:30 успешна.

CN=Schema,CN=Configuration,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:46:30 успешна.

DC=DomainDnsZones,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:46:30 успешна.

DC=ForestDnsZones,DC=my-dmn,DC=rarus-s,DC=ru
Default-First-Site-Name\KD2 через RPC
DSA - GUID объекта: f68245aa-1961-4f9f-83bb-3c9d444f42f0
Последняя попытка @ 2019-01-23 09:46:30 успешна.

REPADMIN /SYNCALL

C:\Windows\System32>REPADMIN /SYNCALL
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Сейчас выполняется следующая репликация:
От: f68245aa-1961-4f9f-83bb-3c9d444f42f0._msdcs.my-dmn.rarus-s.ru
Кому: 84179638-92b4-4061-b101-2c6a1a31ed25._msdcs.my-dmn.rarus-s.ru
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Следующая репликация успешно завершена:
От: f68245aa-1961-4f9f-83bb-3c9d444f42f0._msdcs.my-dmn.rarus-s.ru
Кому: 84179638-92b4-4061-b101-2c6a1a31ed25._msdcs.my-dmn.rarus-s.ru
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Завершена операция SyncAll.
Команда SyncAll завершена без ошибок.

На основном КД в тесте ДНС появились варнинги. Попробовал устранить путём изменения разрешений динамических обновлений на "Только безопасные".Пишут что просто изменение должно помочь, даже если и так был указан данный пункт. Пока не помогло.

На втором КД в тесте ДНС этого варнинга нет.

DCDIAG /TEST:DNS

C:\Windows\System32>DCDIAG /TEST:DNS

Диагностика сервера каталогов

Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = KD1
* Определен лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Сервер проверки: Default-First-Site-Name\KD1
Запуск проверки: Connectivity
......................... KD1 - пройдена проверка Connectivity

Выполнение основных проверок

Сервер проверки: Default-First-Site-Name\KD1

Запуск проверки: DNS

Проверки DNS выполняются без зависания. Подождите несколько минут...
......................... KD1 - пройдена проверка DNS

Выполнение проверок разделов на: ForestDnsZones

Выполнение проверок разделов на: DomainDnsZones

Выполнение проверок разделов на: Schema

Выполнение проверок разделов на: Configuration

Выполнение проверок разделов на: my-dmn

Выполнение проверок предприятия на: my-dmn.rarus-s.ru
Запуск проверки: DNS
Результаты проверки контроллеров домена:

Контроллер домена: KD1.my-dmn.rarus-s.ru
Домен: my-dmn.rarus-s.ru


TEST: Dynamic update (Dyn)
Warning: Failed to add the test record dcdiag-test-record in zone my-dmn.rarus-s.ru

KD1 PASS PASS PASS PASS WARN PASS n/a
......................... my-dmn.rarus-s.ru - пройдена проверка DNS

NLTEST /DSGETDC:my-dmn.rarus-s.ru

C:\Windows\System32>Nltest /dsgetdc:my-dmn.rarus-s.ru
Контроллер домена: \\KD1.my-dmn.rarus-s.ru
Адрес: \\172.16.1.254
GUID DOM: a075dd77-bb02-48da-8da8-3641883e19e8
Имя DOM: my-dmn.rarus-s.ru
Имя леса: my-dmn.rarus-s.ru
Имя сайта контроллера домена: Default-First-Site-Name
Имя нашего сайта: Default-First-Site-Name
Флаги: PDC GC DS LDAP KDC TIMESERV GTIMESERV WRITABLE DNS_DC DNS_DOMAIN DNS_FOREST CLOSE_SITE FULL_SECRET WS DS_8 DS_9 DS_10
Команда выполнена успешно.


w32tm /monitor

C:\Windows\System32>w32tm /monitor
KD1.my-dmn.rarus-s.ru *** PDC ***[[fe80::acf8:110c:79ed:d098%5]:123]:
ICMP: 0ms задержка
NTP: +0.0000000s смещение относительно KD1.my-dmn.rarus-s.ru
RefID: tor-relais2.link38.eu [188.68.53.92]
Страта: 3
KD2.my-dmn.rarus-s.ru[192.168.1.254:123]:
ICMP: 1ms задержка
NTP: +0.0013487s смещение относительно KD1.my-dmn.rarus-s.ru
RefID: KD1.my-dmn.rarus-s.ru [172.16.1.254]
Страта: 4

Предупреждение:
Рекомендуется использовать обратное разрешение имен. Возможно, оно выполнено
неверно, так как поле RefID в пакетах времени различается в
разных реализациях NTP и может не использовать IP-адреса.


w32tm /query /peers

C:\Windows\System32>w32tm /query /peers
#Узлы: 1

Узел партнера: 0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org,0x8
Состояние: Активный
Осталось времени: 2453.9942133s
Режим: 1 (Симметричный активный)
Страта: 2 (вторичная ссылка - синхронизирована с помощью (S)NTP)
ОдноранговыйИнтервал опроса: 10 (1024s)
УзелИнтервал опроса: 10 (1024s)


w32tm /query /peers с KD2

C:\Windows\System32>w32tm /query /peers
#Узлы: 1

Узел партнера: KD1.my-dmn.rarus-s.ru
Состояние: Активный
Осталось времени: 526.8444015s
Режим: 1 (Симметричный активный)
Страта: 3 (вторичная ссылка - синхронизирована с помощью (S)NTP)
ОдноранговыйИнтервал опроса: 10 (1024s)
УзелИнтервал опроса: 10 (1024s)


Может копать в сторону доверительных отношений?...

https://interface31.ru/tech_it/2015/...-v-domene.html


upd: На kd1 в dns не знаю откуда взялся, был прописан адрес 172.16.1.0, удалил этот адрес и в оснастке dns, прописалась как папка верхнего уровня, из-за этого клиенты (только на xp) шли по этому адресу и соотносили его с доменом my-dmn.rarus-s.ru...

dns kd1



На kd2 прописан локальный, 127.0.0.1, в общем тоже удалил...

У клиентов на xp выяснилась проблема с доступом в каталог \\my-dmn.rarus-s.ru
xp



Отправлено: 09:33, 23-01-2019

 

Аватара для paranoya

Старожил


Сообщения: 335
Благодарности: 68

Профиль | Отправить PM | Цитировать


Первым делом проверить включён и установлен ли smb1, так как это 2016, то по-умолчанию smb1 не устанавливается. Поэтому у XP и проблемы с доступом, так как работает она только по smb1.

Далее. Сеть, судя по всему, разделена на подсети. И встаёт вопрос - сайты в AD настроены?
Цитата Deminart:
Если "VIPNET$" - действительная учетная запись компьютера "VIPNET", то "VIPNET" следует вновь присоединить к домену. »
Так может просто компьютер заново в домен ввести?

-------
Он был расстроенным трупом и потратил две минуты впустую.


Отправлено: 15:40, 23-01-2019 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Новый участник


Сообщения: 34
Благодарности: 0

Профиль | Отправить PM | Цитировать


Цитата paranoya:
Первым делом проверить включён и установлен ли smb1, так как это 2016, то по-умолчанию smb1 не устанавливается. Поэтому у XP и проблемы с доступом, так как работает она только по smb1. »
Установлен.

smb



Цитата paranoya:
Далее. Сеть, судя по всему, разделена на подсети. И встаёт вопрос - сайты в AD настроены? »
А что конкретно подразумевается под настройкой? Если что я без сарказма спрашиваю.

Цитата paranoya:
ак может просто компьютер заново в домен ввести? »
В этом случае да, можно и перевывести. Тут эту ошибку скорее скинул как пример, что за ошибки валятся.

В общем это наименее значимые моменты...Самая значимая сейчас проблема именно с тем почему иногда не входит в домен...

Отправлено: 16:10, 23-01-2019 | #3


Аватара для paranoya

Старожил


Сообщения: 335
Благодарности: 68

Профиль | Отправить PM | Цитировать


Цитата Deminart:
А что конкретно подразумевается под настройкой? »
Зайти в оснастку "Домены и Сайты" и посмотреть есть там две подсети или нет. Если есть, то находятся ли контроллеры каждый в своём сайте. Это минимум.
Ещё нужен вывод ipconfig /all с проблемных рабочих станций.

-------
Он был расстроенным трупом и потратил две минуты впустую.


Отправлено: 14:22, 24-01-2019 | #4


Новый участник


Сообщения: 34
Благодарности: 0

Профиль | Отправить PM | Цитировать


Цитата paranoya:
Зайти в оснастку "Домены и Сайты" и посмотреть есть там две подсети или нет. Если есть, то находятся ли контроллеры каждый в своём сайте. Это минимум.
Ещё нужен вывод ipconfig /all с проблемных рабочих станций. »

На подсети в оснастке домены не разделены...


C:\>ipconfig /all

ipconfig /all с проблемной машины
Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : server_new
Основной DNS-суффикс . . . . . . : my-dmn.rarus-s.ru
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : my-dmn.rarus-s.ru

Ethernet adapter Подключение по локальной сети 2:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Intel(R) 82579LM Gigabit Network Connection
Физический адрес. . . . . . . . . : D4-3D-7E-B2-68-AF
DHCP включен. . . . . . . . . . . : Да
Автонастройка включена. . . . . . : Да

Ethernet adapter Подключение по локальной сети:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Физический адрес. . . . . . . . . : 64-66-B3-02-81-37
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.1.153(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.1.7
DNS-серверы. . . . . . . . . . . : 192.168.1.254
172.16.1.254
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{B730652C-AC73-4A11-944F-328282B7B4E8}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

Туннельный адаптер Teredo Tunneling Pseudo-Interface:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

Туннельный адаптер isatap.{A0F8538E-7A0B-44C5-B159-DC32F52B0E42}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP #2
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

C:\>



Цитата pEntity:
А ошибка какая при входе ?
Неверное имя пользователя или пароль.

Во время этой беды, при попытке залогиниться доменное имя меняется на полное FQDN домена т.е. выглядит так: my-dmn.rarus-s.ru\ivanov. А должно быть так: my_dmn\ivanov

Скрытый текст



С момента написания поста переделал ещё кучу всего....Свёл ошибки и варнинги на сервере к минимуму.

Но сейчас получил ещё одного "вылетевшего"...
Причём могу к нему подключиться через оснастку compmgmt.msc, так же могу например зайти на него в консоль (cmd), через psexec, используя доменную учётку...

Думал сейчас опять увижу ту самую ошибку: KRB_AP_ERR_MODIFIED... Но нет, ни на сервере ни на проблемном клиенте я уже не вижу этой ошибки (((

И так, на память, что ещё проделывал с момента написания поста:

Сбрасывал кэш на всех кд, через ipconfig /flushdns и через оснастку dns.

Убрал перекрёстный днс с кд. Сейчас днс кд1 смотрит на себя, в альтернативном днс прописан кд2. На кд2 основной днс смотрит на кд1, альтернативный стоит его.

Почистил днс от дублей которые фигурируют в начале поста.

Сбрасывал весь кэш тикетов Kerberos компьютера (локальной системы).

Так же пробегался по этим рекомендациям:

https://social.technet.microsoft.com...um=winserverDS

Делал сброс пароля на KDC, очистку кэша Kerberos и дальнейшую синхронизацию.
По этой схеме с поправкой на server 2016:

Защищенный канал между DC нарушен.
https://sandeshdubey.wordpress.com/2...he-dcs-broken/

Отправлено: 14:02, 30-01-2019 | #5


Аватара для paranoya

Старожил


Сообщения: 335
Благодарности: 68

Профиль | Отправить PM | Цитировать


ping по имени и по ip-адресу из одной подсети в другую проходит? Причем как с рабочих станций, так и с ДС.
Остальные протоколы ходят нормально?

PS. Я-бы всё привёл в одну подсеть, если это возможно.

-------
Он был расстроенным трупом и потратил две минуты впустую.


Отправлено: 22:33, 31-01-2019 | #6



Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2016/2019 » 2016 - Периодически нельзя войти в домен.

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Разное - Нельзя войти в учётную запись с временными ограничениями в разрешённое время dima_l Microsoft Windows 7 1 18-07-2017 01:26
2008 R2 - [решено] Нельзя войти в RDP сессию с сохраненными в ярлыке RDP логином и паролем CyberMuesli Windows Server 2008/2008 R2 5 20-07-2012 18:05
удалил домен как войти в винду. Dintra Microsoft Windows NT/2000/2003 1 12-09-2010 20:40
Службы - Vista Бизнес + NT4 нельзя вогнать в домен Kondrat85 Microsoft Windows NT/2000/2003 2 12-09-2008 10:36
Slackware - [решено] Невозможно войти с Windows-компьютеров в домен GSA_GSA Общий по Linux 12 27-08-2008 13:19




 
Переход