Win7ワークステーションをWin2k8ドメインに参加させることはできません


8

Windows 7 UltimateマシンをWindows 2k8ドメインに接続しようとしていますが、機能しません。私はこのエラーを受け取ります:

注:この情報は、ネットワーク管理者を対象としています。ネットワークの管理者でない場合は、C:\ Windows \ debug \ dcdiag.txtファイルに記録されているこの情報を受け取ったことを管理者に通知してください。

ドメイン "example.local"のドメインコントローラーを見つけるために使用されるサービスロケーション(SRV)リソースレコードをDNSに正常にクエリしました:

クエリは_ldap._tcp.dc._msdcs.example.localのSRVレコードに対するものでした

次のドメインコントローラーはクエリによって識別されました:
dc1.example.local
dc2.example.local

ただし、ドメインコントローラーに接続できませんでした。

このエラーの一般的な原因は次のとおりです。

  • ドメインコントローラーの名前をIPアドレスにマップするホスト(A)または(AAAA)レコードがないか、正しくないアドレスが含まれています。

  • DNSに登録されているドメインコントローラーがネットワークに接続されていないか、実行されていません。

クライアントは、ドメインコントローラが存在するデータセンターにMPLS経由でリモート接続されたオフィスにあります。DCへの接続をブロックするものは何もないようですが、MPLS回路を完全に制御することはできないため、接続をブロックするものがある可能性があります。

1つのオフィスで複数のクライアント(Win7 UltimateとWinXP SP3)を試しましたが、すべてのクライアントで同じ症状が出ました。

確かに、可能なすべてのポートを試したことはありませんが、どちらのドメインコントローラーにも問題なく接続できます。ICMP、LDAP、DNS、SMB接続はすべて正常に動作します。

クライアントDNSはDCを指し、「example.local」はDCの2つのIPアドレスに解決されます。

NetLogon Testコマンドラインユーティリティからこの出力を取得します。

C:\Windows\System32>nltest /dsgetdc:example.local
Getting DC name failed: Status = 1355 0x54b ERROR_NO_SUCH_DOMAIN

MPLSの代わりにLAN-to-LAN VPNを介してDCネットワークに接続されているそのオフィスの構成をエミュレートする別のネットワークも作成しました。そのリモートネットワークからWindows 7コンピューターに参加することは正常に機能します。

2つの環境の違いを見つけることができる唯一の違いは、中間接続ですが、何をテストするか、またはどのように行うかについて、私は思いがけません。さらに何をすればいいですか?

(これは実際にはクライアントワークステーションではなく、直接アクセスできないことに注意してください。リモートハンドアクセスを行う必要があるため、パケットスニッフィングなどの明らかなトラブルシューティング方法がさらに難しくなります。そこに、私がリモートでアクセスできるシステムをセットアップすることもできましたが、その効果に対する要求は未解決になりました。)

2011年8月25日更新:
私はしていたDCDIAG.EXEドメインに参加しようとしているクライアント上で実行します。

C:\Windows\System32>dcdiag /u:example\adminuser /p:********* /s:dc2.example.local

Directory Server Diagnosis

Performing initial setup:
   Ldap search capabality attribute search failed on server
   dc2.example.local, return value = 81

これはLDAP経由で接続できたように見えますが、LDAPを使用しようとしていたことは失敗しました。しかし、私はそれが何をしようとしていたのかを完全には理解していません。それを再現または解決する方法ははるかに少ないです。

2011-08-26更新:
を使用LDP.EXEしてDCに直接LDAP接続しようとすると、次のエラーが発生します。

ld = ldap_open( "10.0.0.1"、389);
エラー<0x51>:10.0.0.1への接続に失敗しました
ld = ldap_open( "10.0.0.2"、389);
エラー<0x51>:10.0.0.2への接続に失敗しました
ld = ldap_open( "10.0.0.1"、3268);
エラー<0x51>:10.0.0.1への接続に失敗しました
ld = ldap_open( "10.0.0.2"、3268);
エラー<0x51>:10.0.0.2への接続に失敗しました

これは、どこかでブロックされているLDAP接続を指さしているように見えます。(そして、0x51 == 81、これはDCDIAG.EXE昨日の更新からのエラーでした。)TELNET.EXE数週間前にこれをテストしたことを私は誓うことができましたが、今、私は画面のクリアがそれが待っていて、接続していたわけではありません。

現在、LDAP接続の問題を追跡しています。このアップデートが答えになるかもしれません。


3
DNSが機能しているように見える場合、NetMonまたはWiresharkの両端を固定し、パケットをキャプチャして、ワイヤーで何が起こっているかを確認することをお勧めします。
ITHedgeHog 2011

ところで、私はdcdiag出力のスペルミスが大好きです。
wfaulk 2011

DCでエラーメッセージ/イベントを受信して​​いますか?
Grizly 2011

@グリズリー:私が見たことはありません、いいえ。
wfaulk 2011

ワークステーションとサーバーの間にあるネットワークデバイスにアクセスしましたか?あなたはそれらのフィルタリング/接続ログをチェックして、それらのどれかがワークステーションから/へのパケットをドロップ/フィルタリングしているかどうかを見たいでしょう。
アシュリー

回答:


2

どこで発生しているかを見つけるのに永遠にかかりましたが、VPN内にLDAP(およびその他の)トラフィックをブロックするフィルターがあったことがわかりました。私はそれらのフィルターをクリアし、今それは働いています。


2

Win7マシンとドメインコントローラの間にファイアウォールが存在する可能性があります。

nmapにアクセスできる場合:

nmap -PN -p389 dc1.example.local dc2.example.local

更新:

nltest /dsgetdc:example.local

nslookup -q=srv _ldap._tcp.dc._msdcs.example.local  
nslookup -q=a $prefered_host  
ldapsearch -h $IPaddress_of_A_record -x -b "" -s base (&(DNSDomain=example.local)(HOST=$localmachineshostname)(NtVer=\\\\16\\\\00\\\\00\\\\00)) netlogon

NtVerは、V5(バージョン5ネットログオン)、V5EX(バージョン5拡張ログオン)、VCS(最も近いDC)を求めています。Win7Entから取得。

(ldap hexはtrixyです。)


私が言ったように、DCへのLDAP接続は正常に機能します。
wfaulk

私の悪い。それでも、nltestが行うことは、2つのDNSルックアップとcldap検索だけです。振る舞いを更新します。
84104 2011

良い情報。これらの両方を再確認します。
wfaulk 2011

DCの存在しないPTRレコードが問題になるかどうか誰でも知っていますか?
wfaulk 2011

すべきではない。他のすべてのマシンはそれらなしで参加しました。nltestそれらを探しません。クライアントがSRVレコードを取得できることを再確認してください。MS DNSサーバーは分割ビューを行うとは考えていませんが、オプションが不足しています。
84104 2011

1

win7がDNSをDCに向けていないように聞こえますか?おそらく、DHCPはDNSをインターネットプロバイダーのDNSに向けているのでしょうか。


いいえ、DNSは間違いなくDCを指しています。LDAP SRVルックアップが機能したという事実は、それを裏付けていると思います。
wfaulk 2011

ホスト名なしでドメイン名にpingできますか?たとえば、DCがDC1.mydomain.comの場合、win7ボックスからmydomain.comにpingできますか?
アラン

うん。2つのDCのIPアドレスに解決されます。
wfaulk 2011

アイデアが足りません!頑張って!
アラン

0

DNSに関する限り、すべてを試してテストしたようですが、DC / DNSサーバーのAレコードが存在し、正しいことを確認しましたか?両方のサーバーのAレコードの存在について両方のサーバーをテストするnslookupを実行するとどうなりますか?エラーメッセージで返されたDCは、実際にはドメインの正しいDC / DNSサーバーですか?


ドメインへの参加が別のネットワークから正常に機能することを考えると、これほど基本的なことではないと思います。
wfaulk

すみません、その部分を逃しました。
joeqwerty 2011

次のポート上のトラフィックがMPLS回線を通過していることを確認しました:Microsoft-DSトラフィック(445 / tcp、445 / udp)•Kerberos認証プロトコル(88 / tcp、88 / udp)•軽量ディレクトリアクセスプロトコル(LDAP)(389 / udp)•ドメインネームシステム(DNS)(53 / tcp、53 / udp)
joeqwerty

0

リモートオフィスのクライアントのみがIPv6を実行していて、DCのSRVレコードを検出しているにもかかわらず、DNSにAAAA(IPV6)レコードが構成されていない可能性はありますか?


興味深い推測ですが、違います。
wfaulk 2011
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.