主页 / server / 问题 / 521752
Accepted
Mox
Asked: 2013-07-09 14:43:56 +0800 CST

Active Directory 成员服务器找不到域控制器

  • 772

几个小时前，我们的一些成员服务器无法针对他们应该使用的两个域控制器进行身份验证。成员服务器和 DC 位于同一个数据中心，并且位于 AD 中的单独“站点”上。运行 DCDiag 显示没有问题，并且我们已经确认服务器和 DC 之间具有网络连接。在成员服务器上运行 nslookup 会显示在每种情况下作为名称服务器列出的正确 DC。

LDAP 身份验证似乎正在工作，但是，Kerberos 身份验证已停止工作。基本上，所有关键的内部服务都已停止。

以下是我们在成员服务器上遇到的一些问题的详细信息：

Exchange - 拓扑服务找不到任何域控制器。因此，Exchange 信息存储无法启动。

SharePoint - 身份验证在 IIS 级别以及 IIS 和 SQL 之间失败（该服务器场已运行多年）。

其他故障排除：

NLTEST /DCLIST:domainname - 找不到 DC 以获取 DC 列表

NLTEST /Server:Servername - 两个 DC 都成功完成。

NLTEST /DSGetDC:Domain - 命令成功完成。

NLTEST /dsgetsite - 成功完成。

GPUpdate - 找不到用户。不存在域

nslookup -type=SRV _kerberos._tcp.dc._msdcs.subdomain.mydomain.com交换服务器上的输出：

Server:  colo-dc-001.subdomain.mydomain.com
Address:  10.11.2.20

_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = branchf-dc-001.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = colo-dc-001.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = hq-dc-003.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = colo-dc-002.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = hq-dc-004.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = branchc-dc-002.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = branchm-dc-001.subdomain.mydomain.com
_kerberos._tcp.dc._msdcs.subdomain.mydomain.com SRV service location:
      priority       = 0
      weight         = 100
      port           = 88
      svr hostname   = branchs-dc-001.subdomain.mydomain.com
branchf-dc-001.subdomain.mydomain.com   internet address = 10.10.2.22
colo-dc-001.subdomain.mydomain.com  internet address = 10.11.2.20
hq-dc-003.subdomain.mydomain.com    internet address = 10.1.2.20
colo-dc-002.subdomain.mydomain.com  internet address = 10.11.2.21
hq-dc-004.subdomain.mydomain.com    internet address = 10.1.2.21
branchc-dc-002.subdomain.mydomain.com   internet address = 10.5.2.21
branchm-dc-001.subdomain.mydomain.com   internet address = 10.6.2.21
branchs-dc-001.subdomain.mydomain.com   internet address = 10.7.2.22

我们可以 RDP 到托管上述服务的任何服务器，但这些服务将不起作用。

成员服务器上的系统日志包括一些关于无法找到 DC 的错误消息。

所以基本上，网络好像是起来了，DC也好像是起来了，但是同一个网段的成员服务器却找不到。我们应该从哪里寻找问题？

active-directory

2 个回答

  1. 我会开始看DNS。这对我来说真的很像 DNS。

    _msdcs.domain.com前向查找区域是否看起来缺少某些东西？

    如果你运行一个nslookup -type=SRV _kerberos._tcp.dc._msdcs.domain.com你会得到什么输出？

    当您运行失败的诊断命令时，嗅探 DC 或成员服务器上的流量，如果问题不明显，则在此处发布输出。例如，该NLTEST /DCLIST:domain.com命令应该使客户端发出一些 DNS 来寻找其站点中的 LDAP 服务器，然后是几个 RPC 绑定。

    • 2
  2. Best Answer

    此问题是由旨在用于最终用户工作站的组策略更改引起的，但被错误地应用于某些成员服务器。组策略更改启用了 DirectAccess。

    对于我们在托管设施中的服务器，应用此策略会导致这些服务器断定它们位于不受信任的网络上。因此，他们启用了 Windows 防火墙，从而阻止他们定位或与我们的域控制器通信。

    我们回滚了组策略应用的更改，从域中删除了成员服务器，并将它们添加回域，这样就解决了问题。

    • 2

相关问题