» Общие вопросы про AD (Active Directory)

Всё равно это шаманство будет, и нет 100% гарантии что сработает. Нужно решение корпоративного уровня. Кроме того, вопрос с переносными компьютерами остаётся открытым. Что с их локальными записями делать-то?

MG34
У нас локальный админ переименовывается через ГПО, на него также через ГПО меняется пароль. Пароль для всех один, так что не забудешь.
Что смущает в таком конфиге?

Добавлено:
MG34

Цитата:

админскую (так как её ни удалить ни заблокировать нельзя)

Это почему же?
Конфигурация компьютера->Конфигурация Windows->Параметры безопасности->Локальные политики->Параметры безопасности->Учетные записи:Состояние учетной записи "Администратор"

FreemanRU
Это ты наверное про win2003/xp говоришь. У меня в 2000 ничего подобного нет. Или у тебя свой шаблогчик работает? Тогда делись.

Alan Mon

Цитата:

win2003/xp

угу
Но и в 2000 домене по идеи должно работать на клиентах ХР. Достаточно установить adminpak на ХР от 2003 и с помощью него подправить политику. Не проверял, по обычные шаблоны так работают.

FreemanRU

Цитата:

Достаточно установить adminpak на ХР от 2003 и с помощью него подправить политику.

и поставить фиксы
Все ссылки на подробности как всегда здесь:
» Групповые политики (Group Policy, GPO): документация, ссылки ->Managing Windows XP Service Pack 2 Features Using Group Policy

Народ, не подскажете как правильно поменять машинные пароли на контроллерах, а то скорее всего у меня из-за этого не идет репликация между сайтами.

репликация чего? может через трасты все-таки решаемо?

Доброе время суток...
Прошу прщения если не потеме, и если в поиске не нашел, то что искал.....


Проблема в том, что ставлю с чистго листа Win2003, мастером запускаю типичную настройку сервера..., все проходит нормально, до окончания установки, где говорится, что DHCP не авторизован....
Пытюсь авторизовать его в ручную на Этом сервере, AD -отказано в доступе((
Несколько раз подымал AD, но с таким не встречался((
PLZ, убочающемуся ламеру......

Заренее

moltchan
1. Читай шапку.
2. Ищи частную тему наиболее подходящую к вопросу, если не найдешь - создавай новую тему. И выкладывай там результаты dcdiag, netdiag в тэге [more]

Вопрос про смену IP адреса домена... Есть два контроллера домена, IP *.1 и *.2, на первом выполняется программа с которой соединяются юзеры по IP, на втором такая же программа на резервный случай
Ситуация:
Первый сервер выключается. На второй я добавляю IP первого, чтобы проходили соединения...
Последствия? Ведь получается что два IP контроллеров домена занимает лишь один.

XMMS

Цитата:

Ведь получается что два IP контроллеров домена занимает лишь один.

По идеи - никаких. Ведь домен все-же опирается на ДНС-имена. Главное, что бы в ДНС сервере все правильно было.

PS
Цитата:

на первом выполняется программа с которой соединяются юзеры по IP, на втором такая же программа на резервный случай

А нельзя подключаться к программе по ДНС-имени?

FreemanRU

Цитата:

По идеи - никаких. Ведь домен все-же опирается на ДНС-имена. Главное, что бы в ДНС сервере все правильно было.

DNS поднят на обоих контроллерах домена. Друг друга реплицируют.
Насчёт подключения по DNS-имени - идея интересная Вот только что если XP будет кешировать ДНС-запросы?

XMMS

Цитата:

DNS поднят на обоих контроллерах домена

Мое ИМХО - все будет. Только Глобальный каталог подними на обоих.

Цитата:

Вот только что если XP будет кешировать ДНС-запросы?

Ставь TTL в 2 секунды для этой записи - у все будет. У нас так БД работает.

FreemanRU


Цитата:

Мое ИМХО - все будет. Только Глобальный каталог подними на обоих.

DHCP должен выдавать адреса обеих DC?

Вернулся я с вопросами
Возникают такие ошибки при старте второго контроллера:


Цитата:

Тип события: Предупреждение
Источник события: NETLOGON
Категория события: Отсутствует
Код события: 3096
Дата: 30.06.2005
Время: 16:42:48
Пользователь: Н/Д
Компьютер: GTS-SERVER2
Описание:
Не удалось найти основной контроллер домена для данного домена.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

И


Цитата:

Тип события: Предупреждение
Источник события: NTDS Replication
Категория события: DS RPC-клиент
Код события: 2088
Дата: 30.06.2005
Время: 16:44:04
Пользователь: NT AUTHORITY\АНОНИМНЫЙ ВХОД
Компьютер: GTS-SERVER2
Описание:
Active Directory не может использовать DNS для разрешения указанного ниже IP—адреса исходного контроллера домена. Чтобы сохранить согласованность групп безопасности, групповой политики, пользователей и компьютеров и их паролей, Active Directory была успешно реплицирована с помощью NetBIOS или полное доменное имя исходного контроллера домена.

Неправильная настройка DNS может влиять на другие важные операции на рядовых компьютерах, контроллерах домена или серверах приложений в лесе этой службы каталогов Active Directory, включая проверку подлинности при входе или доступ к сетевым ресурсам.

Следует как можно скорее исправить ошибку настройки DNS, чтобы этот контроллер домена мог выполнять разрешение IP—адреса исходного контроллера домена с помощью DNS.

Имя альтернативного сервера:
gts-server
Ошибочное имя узла DNS:
c239feb6-2b4b-4a14-bf67-863383e546f1._msdcs.gts.gortorgsnab.ru

Примечание: по умолчанию, не более 10 ошибок DNS отображаются для любого 12—часового периода, даже если произошло более 10 ошибок. Чтобы записывать в журнал отдельные ошибки, установите следующее диагностическое значение реестра равным 1:

Раздел реестра:
HKLM\System\CurrentControlSet\Services\NTDS\Diagnostics\22 DS RPC Client

Действие пользователя:

1) Если исходный контроллер домена больше не функционирует, или его операционная система была переустановлена с использованием другого имени компьютера или другого GUID объекта NTDSDSA, удалите метаданные исходного контроллера домена с помощью NTDSUTIL.EXE, выполнив шаги, перечисленные в статье 216498 базы знаний MSKB.

2) Убедитесь, что исходный контроллер домена несет службу каталогов Active Directory и доступен в сети, введя команду "net view \\<source DC name>" или "ping <source DC name>".

3) Проверьте, что исходный контроллер домена использует правильный DNS—сервер для служб DNS, и что запись узла и запись CNAME исходного контроллера домена правильно зарегистрированы, воспользовавшись расширенной для DNS версией программы DCDIAG.EXE, имеющейся на http://www.microsoft.com/dns

dcdiag /test:dns

4) Проверьте, что конечный контроллер домена использует правильный DNS—сервер для служб DNS, воспользовавшись расширенной для DNS версией программы DCDIAG.EXE на консоли конечного контроллера домена, выполнив следующую команду:

dcdiag /test:dns

5) При дальнейшем исследовании ошибок DNS ознакомьтесь со статьей KB 824449:
http://support.microsoft.com/?kbid=824449

Дополнительные данные:
Ошибка:
11004 Запрошенное имя верно, но данные запрошенного типа не найдены.


Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Теперь вот думаю что делать? По первой ошбке вообще незнаю, а по второй- проделал указанные действия кроме dcdiag, всё ок... щас и его попробую

Добавлено:
нигде я этот dcdiag с расширенным тестом DNS не могу найти... может кто видел?

XMMS
В ресурс ките всё, с диска винды SUPPORT\TOOLS\support.cab распакуй

XMMS

Цитата:

нигде я этот dcdiag с расширенным тестом DNS не могу найти

Windows Server 2003 Service Pack 1 32-bit Support Tools

Вообщем у меня проблемы с DNS. Вот результаты dcdiag двух контроллеров:
[more]
Первый контроллер

Цитата:

C:\Documents and Settings\Administrator.GTS>dcdiag /s:gts-server /test:dns

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: GTS-Site\GTS-SERVER
Starting test: Connectivity
......................... GTS-SERVER passed test Connectivity

Doing primary tests

Testing server: GTS-Site\GTS-SERVER

DNS Tests are running and not hung. Please wait a few minutes...

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : gts

Running enterprise tests on : gts.*.ru
Starting test: DNS
Test results for domain controllers:

DC: gts-server.gts.*.ru
Domain: gts.*.ru


TEST: Dynamic update (Dyn)
Warning: Dynamic update is enabled on the zone but not secure
gts.*.ru.

Summary of DNS test results:

Auth Basc Forw Del Dyn RReg Ext
________________________________________________________________
Domain: gts.*.ru
gts-server PASS PASS FAIL PASS WARN PASS n/a

......................... gts.*.ru failed test DNS

C:\Documents and Settings\Administrator.GTS>

Второй контроллер

Цитата:

C:\Documents and Settings\Administrator.GTS>dcdiag /s:gts-server2 /test:dns

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: GTS-Site\GTS-SERVER2
Starting test: Connectivity
......................... GTS-SERVER2 passed test Connectivity

Doing primary tests

Testing server: GTS-Site\GTS-SERVER2

DNS Tests are running and not hung. Please wait a few minutes...

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : gts

Running enterprise tests on : gts.*.ru
Starting test: DNS
Test results for domain controllers:

DC: gts-server2.gts.*.ru
Domain: gts.*.ru


TEST: Basic (Basc)
Error: all DNS servers are invalid
Error: The A record for this DC was not found

TEST: Forwarders/Root hints (Forw)
Error:Both root hints and forwarders are not configured. Pleas
e configure either forwarders or roothints

TEST: Dynamic update (Dyn)
Warning: Dynamic update is enabled on the zone but not secure
gts.*.ru.

TEST: Records registration (RReg)
Error: Record registrations cannot be found for all the network a
dapters

Summary of DNS test results:

Auth Basc Forw Del Dyn RReg Ext
________________________________________________________________
Domain: gts.*.ru
gts-server2 PASS FAIL FAIL PASS WARN FAIL n/a

......................... gts.*.ru failed test DNS

C:\Documents and Settings\Administrator.GTS>

[/more]

Разница значительная: основной контроллер пашет отлично(Forw мне не надо)
А дополнительный валится на Basc и RReg... Причём больше всего удивляет:

Цитата:

TEST: Basic (Basc)
Error: all DNS servers are invalid
Error: The A record for this DC was not found

Хотя везде записи вроде стоят... где ещё их надо поставить?

XMMS
ipconfig с обоих + netdiag. И лучше уже из общей темы с этой конкретикой уйти (шапку посмотри). (поиск что-то не работает, не могу ссылку дать куда.)

Давай тогда пока здесь
Выкладываю результаты... хотя уверен что дело в DNS/AD где то глубоко.. скорее даже DNS. Хотя все записи вроде есть... Но как тут проверишь какой именно нехватает?
[more]
Сервер рабочий

Цитата:

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : gts-server
Основной DNS-суффикс . . . . . . : gts.*.ru
Тип узла. . . . . . . . . . . . . : гибридный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : gts.*.ru
*.ru

Local Area Connection - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet
Физический адрес. . . . . . . . . :
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 172.16.0.253
Маска подсети . . . . . . . . . . : 255.255.0.0
IP-адрес . . . . . . . . . . . . : 172.16.0.254
Маска подсети . . . . . . . . . . : 255.255.0.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 127.0.0.1

Цитата:

....................................

Computer Name: GTS-SERVER
DNS Host Name: gts-server.gts.*.ru
System info : Microsoft Windows Server 2003 (Build 3790)
Processor : x86 Family 15 Model 2 Stepping 9, GenuineIntel
List of installed hotfixes :
Q147222


Netcard queries test . . . . . . . : Passed



Per interface results:

Adapter : Local Area Connection

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : gts-server
IP Address . . . . . . . . : 172.16.0.253
Subnet Mask. . . . . . . . : 255.255.0.0
IP Address . . . . . . . . : 172.16.0.254
Subnet Mask. . . . . . . . : 255.255.0.0
Default Gateway. . . . . . :
Dns Servers. . . . . . . . : 127.0.0.1


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped
[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenge
r Service', <20> 'WINS' names is missing.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{B32E480F-EF95-4F8F-A1A5-C313B29CB563}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Failed

[FATAL] NO GATEWAYS ARE REACHABLE.
You have no connectivity to other network segments.
If you configured the IP protocol manually then
you need to add at least one valid gateway.


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Servi
ce', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '127.0.0.1' a
nd other DCs also have some of the names registered.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{B32E480F-EF95-4F8F-A1A5-C313B29CB563}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{B32E480F-EF95-4F8F-A1A5-C313B29CB563}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information


The command completed successfully

Сервер с ошибками в dcdiag

Цитата:

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : gts-server2
Основной DNS-суффикс . . . . . . : gts.*.ru
Тип узла. . . . . . . . . . . . . : гибридный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : gts.*.ru
*.ru

Local Area Connection - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet
Физический адрес. . . . . . . . . :
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 172.16.0.252
Маска подсети . . . . . . . . . . : 255.255.0.0
Основной шлюз . . . . . . . . . . :

Цитата:

....................................

Computer Name: GTS-SERVER2
DNS Host Name: gts-server2.gts.*.ru
System info : Microsoft Windows Server 2003 (Build 3790)
Processor : x86 Family 15 Model 2 Stepping 9, GenuineIntel
List of installed hotfixes :
Q147222


Netcard queries test . . . . . . . : Passed



Per interface results:

Adapter : Local Area Connection

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : gts-server2
IP Address . . . . . . . . : 172.16.0.252
Subnet Mask. . . . . . . . : 255.255.0.0
Default Gateway. . . . . . :
Dns Servers. . . . . . . . :

AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped
[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenge
r Service', <20> 'WINS' names is missing.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{CE7AB28B-E0FF-4948-8240-8DD1BDBAFDBF}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Failed

[FATAL] NO GATEWAYS ARE REACHABLE.
You have no connectivity to other network segments.
If you configured the IP protocol manually then
you need to add at least one valid gateway.


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Servi
ce', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '127.0.0.1' a
nd other DCs also have some of the names registered.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{CE7AB28B-E0FF-4948-8240-8DD1BDBAFDBF}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{CE7AB28B-E0FF-4948-8240-8DD1BDBAFDBF}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Passed
Secure channel for domain 'GTS' is to '\\gts-server.gts.*.ru'.


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information


The command completed successfully

[/more]

XMMS

Цитата:

Сервер рабочий

Цитата:

DNS-серверы . . . . . . . . . . . : 127.0.0.1

dns должен ссылаться на нормальный IP.

Цитата:

Сервер с ошибками в dcdiag

Цитата:

Dns Servers. . . . . . . . :

это что ? не определен в свойствах TCP\IP контроллера dns сервер ?

У тебя 2 dns сервера (на каждом контроллере свой ?)? Если так то проверяй как они зону реплицируют.... и поставь нормальные IP DNS сервера в настройках TCP\IP.
Я бы поставил на всех контроллерах ссылку на один и тот же dns.

G14
У меня DNS-сервера внутренние только... к инету не подключены... и на что им тогда ссылаться?
На втором прописал локал хост.... нормально стало. Тот же результат теста что и у первого.
Два контроллера и два DNS сервера.... реплицируют нормально

А старые ошибки остались на втором контроллере домена кстати... и добавилась недавно ещё вот эта:


Цитата:

MS DTC не удалось правильно обработать событие повышения или понижения уровня контроллера домена. MS DTC продолжит работу и будет использовать текущие настройки безопасности. Сведения об ошибке: %1

Цитата:

MS DTC не удалось правильно обработать событие повышения или понижения уровня контроллера домена. MS DTC продолжит работу и будет использовать текущие настройки безопасности. Сведения об ошибке: d:\srvrtm\com\complus\dtc\dtc\adme\uiname.cpp:9280, Pid: 1768
No Callstack,
CmdLine: C:\WINDOWS\system32\msdtc.exe

Ошибка: 53258

Самое удивительное то что я его не повышал и не понижал...

А первый у меня без ребутов стоит ибо работают на нём, так что возможно и у него такое же будет...

XMMS

Цитата:

У меня DNS-сервера внутренние только... к инету не подключены... и на что им тогда ссылаться?

на 172.чего-то-там, а не на 127.0.0.1.

Цитата:

Самое удивительное то что я его не повышал и не понижал...

хм.. у тебя контроллеры случаем не в кластере ???

G14

Цитата:

на 172.чего-то-там, а не на 127.0.0.1.

На себя или на второй(т.е. перекрёстно)?


Цитата:

хм.. у тебя контроллеры случаем не в кластере ???

Не-а.... была попытка поднять DFS но ему ошибки видимо не позволяют нормально работать.

XMMS

Цитата:

На себя или на второй(т.е. перекрёстно)?

Если DNS-сервера реплицируются нормально, я бы сделал "каждый на себя". Это позволит работать нормально в случае падения одного из них.

G14
Забавно.... если ставить на вторичном контроллере DNS-ом первичный, ошибок:

Цитата:

Не удалось найти основной контроллер домена для данного домена.

и

Цитата:

Active Directory не может использовать DNS для разрешения указанного ниже IP—адреса исходного контроллера домена. Чтобы сохранить согласованность групп безопасности, групповой политики, пользователей и компьютеров и их паролей, Active Directory была успешно реплицирована с помощью NetBIOS или полное доменное имя исходного контроллера домена.

Не появляется... меняю на себя - есть...

XMMS

Цитата:

Не появляется... меняю на себя - есть...

Ну как бы вывод напрашивается сам собой.... Один из DNS серверов работает некорректно. Попробуй на контроллере у которого проблемный DNS сделать чтобы он смотрел в свой dns, разрешить динамические обновления и выполнить netdiag /fix...

G14
Фикс сделал - не помогло. Но я заодно поднял третий ДНС-Сервер на машине с доступом в инет и настроил пересылку: для локального домена на ДНС-сервера домена, для остальных - шлюз. Вот это уже помогло избавиться от ошибок в логах.
А вообще такое возможно если я поставил глобальный каталог на второй сервер, а перезагрузил только один после этого? Точно помню что какие-то действия требовали перезагрузки всех контроллеров.

Вообщем второй контроллер у меня работает без ошибок вроде как.... но первый перестал отвечать на nslookup. Пишет не найден домен. (
Dcdiag, dcdiag /test:dns, тест DNS из настроек сервера, netdiag - всё отлично.
Ошибка та же что и раньше:
C:\Documents and Settings\Administrator>nslookup
*** Can't find server name for address 172.16.0.254: Non-existent domain
Default Server: UnKnown
Address: 172.16.0.254

Честно говоря упустил момент после чего он снова перестал отвечать...


Добавлено:
Проблему решил - оказалось не было PTR записи...

камрады!
Имею смесь 2000 и 2003 серверов\контроллеров. Вопрос вот в чём - если в mmc консоли забить что срок истечения аккаунта скажем через несколько дней, то через неск дней он будет залочен, но в оснастке users_and_comp учётка не будет помечена крастным крестиком, что не крайне неудобно... Подскажите куда копать!?