После получения роли FSMO контроллер домена, ранее являвшийся обладателем этой роли, не должен обмениваться данными с другими контроллерами домена в лесу. На таком контроллере домена необходимо отформатировать жесткий диск и переустановить операционную систему или принудительно понизить роль данного контроллера домена в изолированной сети и удалить метаданные этого контроллера домена с других контроллеров домена в лесу с помощью команды ntdsutil /metadata cleanup. Включение в сеть обладателя роли FSMO, роль которого была получена другим компьютером, может привести к тому, что до получения сведений о получении роли при входящей репликации данный контроллер домена продолжит функционировать в качестве хозяина операций. Наличие двух компьютеров, исполняющих одну роль FSMO, может привести к созданию участников безопасности, обладающих перекрывающимися пулами идентификаторов RID, а также к возникновению других проблем.
Если скрин с клиента, то dhcp вроде как назначил ему адрес. В любом случае DA может быть односторонним и на уровень выше нежели сессионые протоколы типа rpc.
Посмотрите выполненны ли у вас все требования к DA серверу
The DirectAccess setup wizard will seamlessly configure protocol translation components as a background operation, without any need for administrative interaction. There are no configuration options exposed to the administrator. The setup wizard will automatically enable NAT64 and DNS64 if the internal interface of the DirectAccess server has an IPv4 address assigned. To support this functionality, the setup wizard will configure an IPv6 network prefix for NAT64. The wizard assigns the NAT64 prefix automatically, and applies it to all IPv4 ranges in the enterprise.
Приэтом, при входе пользователя в систему, в аттрибутах его у.з. отмечается соответствующее время последнего входа в систему. Поменял у.з. пароль и поставил требование смены пароля - поменял на третий пароль, так как первый был в истории паролей. Значит политики работают. Поэтому у меня вопрос: если политики работают, пользователи могут реистрироваться в системе - то почему они не видят сервера? ни пингом, ни через общие папки. Как комп-то тогда политики из SYSVOL загружает???
вот набросал статью в картинках. всё ли я правильно делаю?
в данном случае у меня два сервера за одним NAT, и клиент на другом конце NAT.
На контроллере домена появились AAAA записи клиента. 2001 и fd3e.
но нет доступа к серверам. сейчас вообще статус connecting
Репликация идет только в одну сторону имхо
Вообще в логах очень много должно быть у вас событий, в том числе и по DA.
Не понятно зачем офлайн вводить в домен если RA сервер поднят ? Подключитесь клиентом, да и вводите через установленное соединение в домен.
Клиент у вас ЗА интерфейсом с трансляцией. Для DA нужно 2 адреса на таком интерфейсе.
Скорее на ДНС сервере, благодаря DHCP
Сетевые экраны, фильтры, acl и т.д может ?
NAT это всего лишь технология/механизм, например DA может использовать эту технологию только с версии сервера 6.2
да выполнены - он работает под управлением 2012 R2, а все необходимые требования есть в нём.
RA - Remote Access (Server), не обязательно это только Direct Access (Server), вы могли установить не толко DAS, но и RAS.
DHCP сервер служит для динамического назначения адреса клиентам, равно как может использоваться для регистрации в днс адресов без участия клиента.
Репликация может быть односторонней, если задумано архитектором сети/сделано специально/неправильно сконфигурировано.
Мне кажется лучше решать проблемы по очереди, если у вас не работает direct access server или работает не тк, как вы задумывали, то лучше обратится к логам на самом сервер и клиенте. Далее уже диагностировать проблемы с доступом к ресурсам.
Просто не могу понять откуда инфа, что придется всех заново включать в домен? Если я скажу что-то типа, да ерунда это, понаверчу сайтов, и окажется, что таки надо выводить и вводить тачки... Их, блин, более 1000
Страницы: 12345678910111213141516171819202122232425262728293031323334353637383940414243444546
Предыдущая тема: Как отключить удаление профиля при выходе