Сбой в AD, DC...

[Sayan]

Здравствуйте.

Пару дней назад начались глюки в сети. Клиенты не могут за

[Sayan]

Здравствуйте.

Пару дней назад начались глюки в сети. Клиенты не могут зайти на сервер(просит пароль), переодически отваливаются учётные записи, Сеть тормозит со страшной силой. Я просто в шоке....

Думал Кидо апять атакует, но проверка ни чего не показала.

Что делать ума неприложу. Клиенту работать не возможна.

Помогите плиз...

На клиенте в евенте ошибки такого типа:

Тип события: Уведомление

Источник события: SecurityCenter

Категория события: Отсутствует

Код события: 1807

Дата: 05.04.2011

Время: 8:24:59

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Служба центра обеспечения безопасности остановлена. Остановка произведена групповой политикой.

*

Тип события: Ошибка

Источник события: Userenv

Категория события: Отсутствует

Код события: 1054

Дата: 05.04.2011

Время: 8:25:29

Пользователь: NT AUTHORITY\SYSTEM

Компьютер: 301-1

Описание:

Не удалось получить имя контроллера домена в этой сети. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена.

*

Тип события: Ошибка

Источник события: AutoEnrollment

Категория события: Отсутствует

Код события: 15

Дата: 05.04.2011

Время: 8:25:54

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Автоматическая подача заявки на сертификат Локальная система: не удалось связаться с каталогом Active Directory (0x8007054b). Указанный домен не существует или к нему невозможно подключиться.

Подача заявки выполнена не будет.

*

Тип события: Ошибка

Источник события: UserInit

Категория события: Отсутствует

Код события: 1000

Дата: 05.04.2011

Время: 8:25:55

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Не удалось выполнить следующий сценарий: collect.bat. Не удается найти указанный файл.

.

На сервере win2003 St. поднят домен, там же AD и файл сервер...

P.s. сори за первый пост...

[Maikll]

На КД выполняете netdiag и dcdiag (утилиты есть в support tools), смотрите результаты.

Выложенные ошибки говорят лишь о том, что на момент инициализации netlogon не было связи с контроллером домена.

Ipconfig /all с клиента и сервера возможно поможет прояснить ситуацию.

[Sayan]

На КД выполняете netdiag и dcdiag (утилиты есть в support tools), смотрите результаты.

Выложенные ошибки говорят лишь о том, что на момент инициализации netlogon не было связи с контроллером домена.

Ipconfig /all с клиента и сервера возможно поможет прояснить ситуацию.

dcdiag КД

C:\Documents and Settings\Администратор>dcdiag

Domain Controller Diagnosis

Performing initial setup:

Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\MONSTER

Starting test: Connectivity

......................... MONSTER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\MONSTER

Starting test: Replications

......................... MONSTER passed test Replications

Starting test: NCSecDesc

......................... MONSTER passed test NCSecDesc

Starting test: NetLogons

......................... MONSTER passed test NetLogons

Starting test: Advertising

......................... MONSTER passed test Advertising

Starting test: KnowsOfRoleHolders

......................... MONSTER passed test KnowsOfRoleHolders

Starting test: RidManager

......................... MONSTER passed test RidManager

Starting test: MachineAccount

......................... MONSTER passed test MachineAccount

Starting test: Services

......................... MONSTER passed test Services

Starting test: ObjectsReplicated

......................... MONSTER passed test ObjectsReplicated

Starting test: frssysvol

......................... MONSTER passed test frssysvol

Starting test: frsevent

......................... MONSTER passed test frsevent

Starting test: kccevent

......................... MONSTER passed test kccevent

Starting test: systemlog

An Error Event occured. EventID: 0xC0070023

Time Generated: 04/05/2011 16:43:24

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:48

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:49

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:49

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:55

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:55

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:55

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:55

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:55

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:56

(Event String could not be retrieved)

An Error Event occured. EventID: 0x00000457

Time Generated: 04/05/2011 16:57:56

(Event String could not be retrieved)

......................... MONSTER failed test systemlog

Starting test: VerifyReferences

......................... MONSTER passed test VerifyReferences

Running partition tests on : ForestDnsZones

Starting test: CrossRefValidation

......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones

Starting test: CrossRefValidation

......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema

Starting test: CrossRefValidation

......................... Schema passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration

Starting test: CrossRefValidation

......................... Configuration passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... Configuration passed test CheckSDRefDom

Running partition tests on : dks

Starting test: CrossRefValidation

......................... dks passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... dks passed test CheckSDRefDom

Running enterprise tests on : dks

Starting test: Intersite

......................... dks passed test Intersite

Starting test: FsmoCheck

......................... dks passed test FsmoCheck

netdiag КД

Computer Name: MONSTER

DNS Host Name: monster.dks

System info : Windows 2000 Server (Build 3790)

Processor : x86 Family 6 Model 15 Stepping 11, GenuineIntel

List of installed hotfixes :

KB923561

KB924667-v2

KB925398_WMP64

KB925902-v2

KB927891

KB929123

KB930178

KB932168

KB933729

KB933854

KB935839

KB936357

KB936782

KB938127

KB938464-v2

KB938759-v4

KB941569

KB942830

KB942831

KB943055

KB943460

KB943485

KB944338-v2

KB944653

KB945553

KB946026

KB948496

KB949014

KB950760

KB950762

KB950974

KB951066

KB951698

KB951748

KB952004

KB952069

KB952954

KB954600

KB955069

KB955839

KB956572

KB956802

KB956841

KB957097

KB958215

KB958644

KB958687

KB958690

KB959426

KB960225

KB960714

KB960715

KB960803

KB961063

KB961064

KB961371

KB961373

KB961501

KB963027

KB967715

KB968537

KB969805

KB969897-IE8

KB969898

KB970238

KB970483

KB971180-IE8

KB971633

KB973346

Q147222

Netcard queries test . . . . . . . : Passed

GetStats failed for '╧Ё ьющ ярЁрыыхы№э√щ яюЁЄ'. [ERROR_NOT_SUPPORTED]

GetStats failed for '╠шэшяюЁЄ WAN (PPTP)'. [ERROR_NOT_SUPPORTED]

GetStats failed for '╠шэшяюЁЄ WAN (PPPoE)'. [ERROR_NOT_SUPPORTED]

[WARNING] The net card '╠шэшяюЁЄ WAN (IP)' may not be working because it has

not received any packets.

GetStats failed for '╠шэшяюЁЄ WAN (L2TP)'. [ERROR_NOT_SUPPORTED]

Per interface results:

Adapter : RMTKS

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : monster

IP Address . . . . . . . . : 10.10.28.103

Subnet Mask. . . . . . . . : 255.255.255.0

Default Gateway. . . . . . : 10.10.28.1

Dns Servers. . . . . . . . : 90.150.83.126

AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Passed

NetBT name test. . . . . . : Passed

No remote names have been found.

WINS service test. . . . . : Skipped

There are no WINS servers configured for this interface.

Adapter : LOCAL

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : monster

IP Address . . . . . . . . : 10.10.58.35

Subnet Mask. . . . . . . . : 255.255.255.0

Default Gateway. . . . . . :

Dns Servers. . . . . . . . : 127.0.0.1

AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped

[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed

WINS service test. . . . . : Skipped

There are no WINS servers configured for this interface.

Global results:

Domain membership test . . . . . . : Passed

NetBT transports test. . . . . . . : Passed

List of NetBt transports currently configured:

NetBT_Tcpip_{ADA669DA-437E-49A5-99AB-179BAE2F187F}

NetBT_Tcpip_{51C0434A-C7E9-46F9-99AC-5EA5B037205D}

2 NetBt transports currently configured.

Autonet address test . . . . . . . : Passed

IP loopback ping test. . . . . . . : Passed

Default gateway test . . . . . . . : Passed

NetBT name test. . . . . . . . . . : Passed

Winsock test . . . . . . . . . . . : Passed

DNS test . . . . . . . . . . . . . : Passed

[WARNING] The DNS entries for this DC are not registered correctly on DNS se

rver '90.150.83.126'. Please wait for 30 minutes for DNS server replication.

PASS - All the DNS entries for DC are registered on DNS server '127.0.0.1' a

nd other DCs also have some of the names registered.

Redir and Browser test . . . . . . : Passed

List of NetBt transports currently bound to the Redir

NetBT_Tcpip_{ADA669DA-437E-49A5-99AB-179BAE2F187F}

NetBT_Tcpip_{51C0434A-C7E9-46F9-99AC-5EA5B037205D}

The redir is bound to 2 NetBt transports.

List of NetBt transports currently bound to the browser

NetBT_Tcpip_{51C0434A-C7E9-46F9-99AC-5EA5B037205D}

NetBT_Tcpip_{ADA669DA-437E-49A5-99AB-179BAE2F187F}

The browser is bound to 2 NetBt transports.

DC discovery test. . . . . . . . . : Passed

DC list test . . . . . . . . . . . : Passed

Trust relationship test. . . . . . : Skipped

Kerberos test. . . . . . . . . . . : Passed

LDAP test. . . . . . . . . . . . . : Passed

Bindings test. . . . . . . . . . . : Passed

WAN configuration test . . . . . . : Skipped

No active remote access connections.

Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information

The command completed successfully

IpConfiG /ALL КД

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : monster

Основной DNS-суффикс . . . . . . : dks

Тип узла. . . . . . . . . . . . . : гибридный

IP-маршрутизация включена . . . . : да

WINS-прокси включен . . . . . . . : нет

Порядок просмотра суффиксов DNS . : dks

LOCAL - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet

Физический адрес. . . . . . . . . : 00-1E-8C-89-EE-B1

DHCP включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.58.35

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . :

DNS-серверы . . . . . . . . . . . : 127.0.0.1

RMTKS - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet #2

Физический адрес. . . . . . . . . : 00-1E-8C-89-EB-C3

DHCP включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.28.103

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . : 10.10.28.1

DNS-серверы . . . . . . . . . . . : 90.150.83.126

IpconfiG /all Клиента

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : sayan

Основной DNS-суффикс . . . . . . : dks

Тип узла. . . . . . . . . . . . . : неизвестный

IP-маршрутизация включена . . . . : нет

WINS-прокси включен . . . . . . . : нет

Порядок просмотра суффиксов DNS . : dks

Lokal - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Intel® PRO/1000 MT Dual Port Netwo

rk Connection

Физический адрес. . . . . . . . . : 00-02-A5-4E-8C-D0

Dhcp включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.58.2

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . : 10.10.58.35

DNS-серверы . . . . . . . . . . . : 10.10.58.35

Сеть - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Intel® PRO/1000 MT Dual Port Netwo

rk Connection #2

Физический адрес. . . . . . . . . : 00-02-A5-4E-8C-D1

Dhcp включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 192.168.0.52

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . :

Пока делал тесты, случайно заметил что вместо имен файлов и папок "кракозябры"... (скрин в аттаче)

Может действительно вирь новый?

[Maikll]

В dcdiag видны ошибки в eventlog-е. Зайдите в журнал и сделайте экспорт этих ошибок.

На клиенте:

Вижу, что сетевые гигабитные, а сама сеть - на гигабитных или стомегабитных коммутаторах?

В журнале событий посмотрите, когда стартует сеть, до появления ошибки 1054 или после?

На КД:

1. Некорректно настроена DNS, в свойствах сетевой нежелательно присутствие адресов провайдера или 127.0.0.1.

2. КД мультихромный (с несколькими рабочими сетевыми)? Вторая сетевая - интернет? Зачем используете одинаковую адресацию с провайдером?

Пока делал тесты, случайно заметил что вместо имен файлов и папок "кракозябры"... (скрин в аттаче)

Может действительно вирь новый?

Подозрение, что работаете через rdp или radmin, такие проблемы с отображением для них характерны.

[Sayan]

В dcdiag видны ошибки в eventlog-е. Зайдите в журнал и сделайте экспорт этих ошибок.

Тип события: Ошибка

Источник события: WLBS

Категория события: Отсутствует

Код события: 35

Дата: 05.04.2011

Время: 16:43:24

Пользователь: Н/Д

Компьютер: MONSTER

Описание:

NLB-кластер 0.0.0.0 . Невозможно включить режим кластеров из-за ошибок в параметрах. Весь трафик будет проходить через TCP/IP. Перезапустите кластерные операции после устранения неполадок с помощью команды "wlbs reload" с последующей командой "wlbs start".

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Данные:

0000: 00 00 0c 00 04 00 5a 00 ......Z.

0008: 00 00 00 00 23 00 07 c0 ....#..À

0010: 00 00 00 00 00 00 00 00 ........

0018: 00 00 00 00 00 00 00 00 ........

0020: 00 00 00 00 00 00 00 00 ........

0028: 12 02 04 00 00 00 00 00 ........

0030: 00 00 00 00 ....

**********

Тип события: Ошибка

Источник события: TermServDevices

Категория события: Отсутствует

Код события: 1111

Дата: 05.04.2011

Время: 16:57:48

Пользователь: Н/Д

Компьютер: MONSTER

Описание:

Драйвер HP LaserJet P2050 Series PCL6 для принтера !!10.10.58.39!HP LaserJet P2050 Series PCL6 не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Данные:

0000: 00 00 00 00 12 0d 00 00 ........

*******

Тип события: Ошибка

Источник события: TermServDevices

Категория события: Отсутствует

Код события: 1111

Дата: 05.04.2011

Время: 16:57:49

Пользователь: Н/Д

Компьютер: MONSTER

Описание:

Драйвер RICOH Aficio MP 5001 PCL 6 для принтера !!10.10.58.142!mp5001 не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Данные:

0000: 00 00 00 00 12 0d 00 00 ........

*********

Тип события: Ошибка

Источник события: TermServDevices

Категория события: Отсутствует

Код события: 1111

Дата: 05.04.2011

Время: 16:57:49

Пользователь: Н/Д

Компьютер: MONSTER

Описание:

Драйвер HP Designjet T1200ps HPGL2 для принтера HP Designjet T1200ps HPGL2 не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Данные:

0000: 00 00 00 00 12 0d 00 00 ........

На клиенте:

Вижу, что сетевые гигабитные, а сама сеть - на гигабитных или стомегабитных коммутаторах?

Сама сеть тоже гигабитная, но кое где пришлось на скорую руку ставить 100...

В журнале событий посмотрите, когда стартует сеть, до появления ошибки 1054 или после?

Судя по журналу, стартует сначала сеть... но в послдение пару "ресетов" ошибки 1054 не наблюдается... по крайней мере на одном клиенте.

1. Некорректно настроена DNS, в свойствах сетевой нежелательно присутствие адресов провайдера или 127.0.0.1.

А как должно быть? вместо 127.0.0.1 ip самого сервера?

2.КД мультихромный (с несколькими рабочими сетевыми)? Вторая сетевая - интернет? Зачем используете одинаковую адресацию с провайдером?.

дело в том что по сути у меня 2 провайдера... 1ый - адсл, управляется отдельным шлюзом Трафик инспектор. А 2ой приходит с вышестоящей организации, и используется для определённых программ\приложений в нашей сети.

Подозрение, что работаете через rdp или radmin, такие проблемы с отображением для них характерны.

Так и есть, работаю через удалёнку... :)

[Sayan]

После смены DNS 127.0.0.1 на 10.10.58.35 предыдущих ошибок пока не было... :rolleyes:

Снова выполнил dcdiag - все тесты прошли, кроме systemlog, там снова ошибки но только на тему принтеров. Кстати, о чём они говорят? Ведь эти принтеры не подключены именно к этому серверу. Они просто со своими адресами в сети!... :g:

С утра в логах было следующее:

Тип события: Ошибка

Источник события: AutoEnrollment

Категория события: Отсутствует

Код события: 15

Дата: 06.04.2011

Время: 3:13:25

Пользователь: Н/Д

Компьютер: SAYAN

Описание:

Автоматическая подача заявки на сертификат Локальная система: не удалось связаться с каталогом Active Directory (0x8007054b). Указанный домен не существует или к нему невозможно подключиться.

Подача заявки выполнена не будет.

Тип события: Предупреждение

Источник события: W32Time

Категория события: Отсутствует

Код события: 24

Дата: 05.04.2011

Время: 21:46:49

Пользователь: Н/Д

Компьютер: SAYAN

Описание:

NTP-клиент поставщика времени: правильный ответ от контроллера домена monster.dks не был получен после 8 попыток обращения. Этот контроллер домена больше не будет использоваться как источник времени, NTP-клиент попытается найти другой контроллер домена для синхронизации.

Тип события: Ошибка

Источник события: W32Time

Категория события: Отсутствует

Код события: 29

Дата: 05.04.2011

Время: 21:46:49

Пользователь: Н/Д

Компьютер: SAYAN

Описание:

The NTP-клиент поставщика времени настроен на получение времени из одного или нескольких источников, однако ни один из этих источников недоступен. Попытки подключения к источнику не будут выполняться в течение 15 мин. NTP-клиент не имеет источника правильного времени.

Причём последние две ошибки повторялись не раз!

Тип события: Предупреждение

Источник события: DnsApi

Категория события: Отсутствует

Код события: 11165

Дата: 05.04.2011

Время: 19:07:59

Пользователь: Н/Д

Компьютер: SAYAN

Описание:

Не удалось зарегистрировать записи ресурсов (RR) узлов (A)

для сетевого адаптера с параметрами:

Имя адаптера: {A524E5BF-DD5A-42FF-BBA8-F9459390E97E}

Имя узла: sayan

Суффикс основного домена: dks

Список DNS-серверов:

10.10.58.35

Отправка обновления на сервер: <?>

IP-адрес (адреса):

10.10.58.2

Не удалось выполнить регистрацию этих RR в DNS из-за того, что DNS-сервер отверг запрос обновления. Это могло произойти по одной из следующих причин: (а) текущая политика обновления DNS не разрешает этому компьютеру обновить указанное DNS-имя домена, (б) удостоверяющий DNS-сервер для этого DNS-имени не поддерживает протокол динамического обновления DNS.

Чтобы зарегистрировать DNS записи ресурсов узла (А), использующих указанный суффикс домена и IP-адреса этого адаптера, обратитесь к системному администратору DNS-сервера или системному администратору вашей сети.

Данные:

0000: 2a 23 00 00 *#..

А вот эта ошибка была и до сбоев и после... и встречается на всех клиентах.

[Maikll]

Что касается настройки DNS.

При наличии на самом КД сервера ДНС, хорошим тоном считается либо указывать на всех сетевых интерфейсах

адрес самого КД, либо ни указывать ничего (я рекомендую последний, исходя из собственного опыта)

Но в любом случае единственным используемым сервером внутри домена должен быть корневой т.е. в вашем случае - КД. Любые другие должны быть настоены как серверы пересылки в свойствах DNS сервера (я имею в виду 90.150.83.126).

Кроме того, у меня есть подозрение, что ваш DNS выдает неправильный адрес для самого домена.

Для проверки сделайте на клиенте и на сервере nslookup полное_имя_домена и посмотрите какой IP возвращает первым.

Снова выполнил dcdiag - все тесты прошли, кроме systemlog, там снова ошибки но только на тему принтеров. Кстати, о чём они говорят? Ведь эти принтеры не подключены именно к этому серверу. Они просто со своими адресами в сети!

В rdp-клиенте снимите галочку маппировать принтеры.

После того как определитесь с ДНС будем смотреть дальше.

[Sayan]

Что касается настройки DNS.

При наличии на самом КД сервера ДНС, хорошим тоном считается либо указывать на всех сетевых интерфейсах

адрес самого КД, либо ни указывать ничего (я рекомендую последний, исходя из собственного опыта)

Но в любом случае единственным используемым сервером внутри домена должен быть корневой т.е. в вашем случае - КД. Любые другие должны быть настоены как серверы пересылки в свойствах DNS сервера (я имею в виду 90.150.83.126).

Вот так?

C:\Documents and Settings\Администратор>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : monster

Основной DNS-суффикс . . . . . . : dks

Тип узла. . . . . . . . . . . . . : гибридный

IP-маршрутизация включена . . . . : да

WINS-прокси включен . . . . . . . : нет

Порядок просмотра суффиксов DNS . : dks

LOCAL - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet

Физический адрес. . . . . . . . . : 00-1E-8C-89-EE-B1

DHCP включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.58.35

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . :

RMTKS - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet #2

Физический адрес. . . . . . . . . : 00-1E-8C-89-EB-C3

DHCP включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.28.103

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . : 10.10.28.1

Кроме того, у меня есть подозрение, что ваш DNS выдает неправильный адрес для самого домена.

Для проверки сделайте на клиенте и на сервере nslookup полное_имя_домена и посмотрите какой IP возвращает первым.

После того как определитесь с ДНС будем смотреть дальше.

nslookup c Клиента:

C:\Documents and Settings\iaa>nslookup monster.dks

Server: monster.dks

Address: 10.10.58.35

Name: monster.dks

Address: 10.10.58.35

nslookup с КД:

C:\Documents and Settings\Администратор>nslookup monster.dks

Server: monster.dks

Address: 10.10.58.35

Name: monster.dks

Address: 10.10.58.35

[Maikll]

Да, так.

Когда вы ни указываете ни одного dns-сервера при поднятой локально роли DNS, система сама автоматически настоится на использование локального сервера, о чем выдаст соответсвующее уведомление.

Nslookup вернул правильный ip, здесь все в порядке.

Теперь что касается последних ошибок.

У вас однокомпонентный домен dks (не есть гуд) и требуется дополнительная настройка DNS, из-за ее отсутствия как раз и возникают ошибки

Не удалось зарегистрировать записи ресурсов (RR) узлов (A)

как следствие - слетает регистрация в AD, отсюда и проблемы.

Читаем статью - http://support.microsoft.com/kb/300684/ru, делаем как там описано.

Изменено 6 апреля, 2011 пользователем Maikll

[Sayan]

Но в любом случае единственным используемым сервером внутри домена должен быть корневой т.е. в вашем случае - КД. Любые другие должны быть настоены как серверы пересылки в свойствах DNS сервера (я имею в виду 90.150.83.126).

А как это правильно настроить? как на Скрине?

В rdp-клиенте снимите галочку маппировать принтеры.

Сделал. Спасибо.

сегодня смотрел логи у ещё одного клиента:

Тип события: Ошибка

Источник события: NETLOGON

Категория события: Отсутствует

Код события: 5719

Дата: 06.04.2011

Время: 18:29:05

Пользователь: Н/Д

Компьютер: N1466

Описание:

Для домена DKS нет доступного контроллера домена. Ошибка:

Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть. .

Убедитесь в том, что компьютер подключен к сети и повторите попытку. Если ошибка повторяется, обратитесь к сетевому администратору.

Данные:

0000: 5e 00 00 c0 ^..À

Тип события: Предупреждение

Источник события: W32Time

Категория события: Отсутствует

Код события: 14

Дата: 06.04.2011

Время: 18:29:16

Пользователь: Н/Д

Компьютер: N1466

Описание:

NTP-клиент поставщика времени не смог найти контроллер домена для использования как поставщика времени. NTP-клиент повторит попытку через 15 мин.

Тип события: Ошибка

Источник события: W32Time

Категория события: Отсутствует

Код события: 29

Дата: 06.04.2011

Время: 18:29:16

Пользователь: Н/Д

Компьютер: N1466

Описание:

The NTP-клиент поставщика времени настроен на получение времени из одного или нескольких источников, однако ни один из этих источников недоступен. Попытки подключения к источнику не будут выполняться в течение 15 мин. NTP-клиент не имеет источника правильного времени.

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40960

Дата: 06.04.2011

Время: 18:17:20

Пользователь: Н/Д

Компьютер: N1466

Описание:

Система безопасности обнаружила попытку атаки для понижения роли сервера cifs/10.10.58.35. Полученный от протокола проверки подлинности Kerberos код ошибки: "Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.

(0xc000005e)".

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40961

Дата: 06.04.2011

Время: 18:17:20

Пользователь: Н/Д

Компьютер: N1466

Описание:

Системе безопасности не удалось установить безопасное подключение к серверу cifs/10.10.58.35. Отсутствуют доступные протоколы проверки подлинности.

Что такого могло произойти, что отваливается все что не попадя, куда не ткни, нужно распечатать -висим, нужно открыть документ на шаре- висим, просто открыть Инфо-систему и почитать доки- вообще не реально! ведь 3 года всё прекрасно работало... и вдруг такие глюки в сети. непонятно :doh:

Может имеет смысл не искать причину что сломалось, а выходные посветить поднятию нового Домена?

хотя понимаю что одному будет ооочень тяжко заводить и настроить заново 70 клиентов... :no:

[Maikll]

А как это правильно настроить? как на Скрине?

Правильно. Поставьте еще галочку "не использовать рекурсию"

сегодня смотрел логи у ещё одного клиента:

из той же серии, что и предыдущие.

Что такого могло произойти, что отваливается все что не попадя,

dns, dns, dns... копать надо в эту сторону.

Вы информацию из статьи по ссылке применять пробовали?

На клиенте смотрим ping 10.10.58.35, ping monster, ping monster.dks

Пробуем зайти на сервер сперва по имени \\monster, затем по ip - \\10.10.58.35 Просить авторизацию будет в обоих случаях?

Сверяем время на сервере и клиенте, если расхождение больше 5 мин в любую сторону - принудительно синхронизируем (часовые пояса тоже не мешает сверить).

Запустите на сервере kerbtray и посмотрите есть ли хоть какие-то билеты Kerberos. Аналогично на клиентах (утилита - в реските).

Может имеет смысл не искать причину что сломалось, а выходные посветить поднятию нового Домена?

Я не знаком со спецификой вашей сети и не знаю, что там у вас завязано на AD, но в любом случае, имхо, перевести 70 клиентов из одного домена в другой с переносом всех настоек за пару дней - задача эпическая.

[Maikll]

Дополнительно в ГП для клиентов укажите принудительно ожидать инициализации сети при входе в систему.

[Sayan]

dns, dns, dns... копать надо в эту сторону.

Вы информацию из статьи по ссылке применять пробовали?

Да, использовал 2ой способ, но только ошибки всё равно есть...

[Sayan]

Запустите на сервере kerbtray и посмотрите есть ли хоть какие-то билеты Kerberos. Аналогично на клиентах (утилита - в реските).

блин, на сервере случайно очистил паспорта... :doh:

на что это повлияет? может выполнить net session /d ?

p.s. так глубоко я ещё не копался в серверных ОС... страшновато

Я не знаком со спецификой вашей сети и не знаю, что там у вас завязано на AD, но в любом случае, имхо, перевести 70 клиентов из одного домена в другой с переносом всех настоек за пару дней - задача эпическая.

Так самому страшно... но страшнее получить выговор за отвратительную работу сети, от начальства... А так хоть какой то свет в конце тоннеля.

[Sayan]

На клиенте смотрим ping 10.10.58.35, ping monster, ping monster.dks

Пробуем зайти на сервер сперва по имени \\monster, затем по ip - \\10.10.58.35 Просить авторизацию будет в обоих случаях?

Сверяем время на сервере и клиенте, если расхождение больше 5 мин в любую сторону - принудительно синхронизируем (часовые пояса тоже не мешает сверить).

ping проходит успешно по ИП и имени, а вот на monster.dks ругается:

C:\Documents and Settings\BSV>ping monster.dks

При проверке связи не удалось обнаружить узел monster.dks. Проверьте имя узла и

повторите попытку.

так же и при открытии сервера...

Со временем вроде все в норме, расхождений нет.

Вот ещё одни смущающий меня факт.

У клиента следующая конфигурация ip:

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : n1466

Основной DNS-суффикс . . . . . . : dks

Тип узла. . . . . . . . . . . . . : неизвестный

IP-маршрутизация включена . . . . : нет

WINS-прокси включен . . . . . . . : нет

Порядок просмотра суффиксов DNS . : dks

Подключение по локальной сети - Ethernet адаптер:

DNS-суффикс этого подключения . . :

Описание . . . . . . . . . . . . : Realtek RTL8168C(P)/8111C(P) PCI-E G

igabit Ethernet NIC

Физический адрес. . . . . . . . . : 20-CF-30-1D-4F-2D

Dhcp включен. . . . . . . . . . . : нет

IP-адрес . . . . . . . . . . . . : 10.10.58.27

Маска подсети . . . . . . . . . . : 255.255.255.0

Основной шлюз . . . . . . . . . . : 10.10.58.35

DNS-серверы . . . . . . . . . . . : 90.150.83.126

раньше днс был указан 10.10.58.35 и всё работало, но сейчас без указания днс провайдера(90.150.83.126) не работает нттр...

[Maikll]

Да, использовал 2ой способ, но только ошибки всё равно есть...

Вы правите ГП, а что она применяется вы уверены?

Сами выше приводите текст ошибки id 1054.

Без ручного вмешательства тут не обойтись, либо править реестр, либо руками на клиенте gpupdate /force (если пройдет).

блин, на сервере случайно очистил паспорта...

на что это повлияет? может выполнить net session /d ?

Не критично, при нормальной работе AD автоматом получит новые.

ping проходит успешно по ИП и имени, а вот на monster.dks ругается:

так же и при открытии сервера...

Как я уже сказал выше, разбирайтесь с регистрацией в dns, пока это не сделаете - дальше не продвинитесь.

раньше днс был указан 10.10.58.35 и всё работало, но сейчас без указания днс провайдера(90.150.83.126) не работает нттр...

как минимум этот адрес должен пинговаться с DC

настройка DNC на DC примерно такая

указываем прослушивать локалку

пересылка

тесты должны проходить

Так самому страшно... но страшнее получить выговор за отвратительную работу сети, от начальства... А так хоть какой то свет в конце тоннеля.

Гм... у вас уже есть опыт подобного рода?

Если не секрет, распишите как вы планируете переезд?

[Sayan]

Вы правите ГП, а что она применяется вы уверены?

Сами выше приводите текст ошибки id 1054.

Без ручного вмешательства тут не обойтись, либо править реестр, либо руками на клиенте gpupdate /force (если пройдет).

Значит будем править.

Тесты к сожалению не проходят, значит я еще не добрался до проблемы...

то что дело в Днс я сразу понял... просто знаний на то что бы самому в одиночку исправлять ДНС не хватит, вот и обратился за помощью... И Большое спасибо что не отказываете!

Гм... у вас уже есть опыт подобного рода?

Если не секрет, распишите как вы планируете переезд?

Нет, не доводилось... но все равно когда то нужно начинать, жаль только что при таких обстоятельствах.

Изначально, говоря о поднятии нового домена, я имел ввиду не перенос настроек а полностью удаление существующего AD DС, затем поднятие и настройку нового и переподключение клиентов. но и Перенос я так же не списываю со счетов. поверхностно по гуглив узнал что прецеденты были... только Инфу поковырять придётся... :blink:

[Maikll]

Не проходит ни один тест или только рекурсивные запросы?

В ДНС зоны обратного просмотра есть?

На DC выполните dcdiag /test:DNS и результат сюда.

На нескольких клиентах когда выполните правку реестра, сделайте вывод из домена, удаление записи компьютера в оснастке AD- Пользователи и компьютеры и повторный ввод, после смотрим в логах на предмет наличия/отсутствия ошибок.

Нет, не доводилось... но все равно когда то нужно начинать, жаль только что при таких обстоятельствах.

Изначально, говоря о поднятии нового домена, я имел ввиду не перенос настроек а полностью удаление существующего AD DС, затем поднятие и настройку нового и переподключение клиентов. но и Перенос я так же не списываю со счетов. поверхностно по гуглив узнал что прецеденты были... только Инфу поковырять придётся.

Я имел в виду технику переноса/пересоздания. Вряд ли ваши пользователи захотят потерять все свои настройки при "переезде" да и самому сложно будет все вбивать заново, следовательно необходимо корректно вывести компьютеры из домена и ввести в новый с сохранением настроек профилей. Это подразумевает разнесение по машинам старого и нового DC, если планируется что новый будет на том же сервер что и старый - поднятие на время переноса резервного DC с рабочей репликацией. Все это корректно будет работать только при правильной работе самой AD, а у вас этого нет.

Это только малая часть "подводных камней", возникающих при таких операциях, так что легким решением я бы это не назвал, тем более при отсутствии опыта.

[Sayan]

Не проходит ни один тест или только рекурсивные запросы?

Скрин 1

В ДНС зоны обратного просмотра есть?

Скрин 2

На DC выполните dcdiag /test:DNS и результат сюда.

Вот:

C:\Documents and Settings\Администратор>dcdiag /test:dns

Domain Controller Diagnosis

Performing initial setup:

Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\MONSTER

Starting test: Connectivity

......................... MONSTER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\MONSTER

DNS Tests are running and not hung. Please wait a few minutes...

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : dks

Running enterprise tests on : dks

Starting test: DNS

Test results for domain controllers:

DC: monster.dks

Domain: dks

TEST: Basic (Basc)

Error: all DNS servers are invalid

Error: The A record for this DC was not found

TEST: Records registration (RReg)

Error: Record registrations cannot be found for all the network a

dapters

Summary of DNS test results:

Auth Basc Forw Del Dyn RReg Ext

________________________________________________________________

Domain: dks

monster PASS FAIL PASS PASS PASS FAIL n/a

......................... dks failed test DNS

Я имел в виду технику переноса/пересоздания. Вряд ли ваши пользователи захотят потерять все свои настройки при "переезде" да и самому сложно будет все вбивать заново, следовательно необходимо корректно вывести компьютеры из домена и ввести в новый с сохранением настроек профилей. Это подразумевает разнесение по машинам старого и нового DC, если планируется что новый будет на том же сервер что и старый - поднятие на время переноса резервного DC с рабочей репликацией. Все это корректно будет работать только при правильной работе самой AD, а у вас этого нет.

Это только малая часть "подводных камней", возникающих при таких операциях, так что легким решением я бы это не назвал, тем более при отсутствии опыта.

Так я тогда вашпе в панике... Что посоветуете?!

[Maikll]

Error: all DNS servers are invalid

:blink: круто...

Укажи в настройках сетевого интерфейса локалки в качестве днс-сервера собственный ip-адрес сервера и повтори тест.

В сетевом подключении к провайдеру ничего менять не надо.

З.Ы, похоже, проблема выходит за рамки "вопрос-ответ". Стучи в асю (есть в моем профиле) сегодня после 20 по Москве, если сможешь - попробуем разобраться.

[Sayan]

:blink: круто...

Укажи в настройках сетевого интерфейса локалки в качестве днс-сервера собственный ip-адрес сервера и повтори тест.

В сетевом подключении к провайдеру ничего менять не надо.

З.Ы, похоже, проблема выходит за рамки "вопрос-ответ". Стучи в асю (есть в моем профиле) сегодня после 20 по Москве, если сможешь - попробуем разобраться.

Хорошо... ждемс

[Sayan]

Укажи в настройках сетевого интерфейса локалки в качестве днс-сервера собственный ip-адрес сервера и повтори тест.

В сетевом подключении к провайдеру ничего менять не надо.

Во это вроде уже получше...

C:\Documents and Settings\Администратор>dcdiag /test:dns

Domain Controller Diagnosis

Performing initial setup:

Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\MONSTER

Starting test: Connectivity

......................... MONSTER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\MONSTER

DNS Tests are running and not hung. Please wait a few minutes...

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : dks

Running enterprise tests on : dks

Starting test: DNS

......................... dks passed test DNS

[Sayan]

Сегодня работал над проблемными клиентами...

Вот логи одного из них:

До прваки реестра

Тип события: Ошибка

Источник события: Print

Категория события: Отсутствует

Код события: 33

Дата: 08.04.2011

Время: 11:33:11

Пользователь: NT AUTHORITY\SYSTEM

Компьютер: 301-1

Описание:

Не удалось найти контейнер очереди печати, поскольку не удалось получить DNS-имя домена. Ошибка: 54b

Тип события: Уведомление

Источник события: SecurityCenter

Категория события: Отсутствует

Код события: 1807

Дата: 08.04.2011

Время: 11:31:14

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Служба центра обеспечения безопасности остановлена. Остановка произведена групповой политикой.

Тип события: Ошибка

Источник события: Userenv

Категория события: Отсутствует

Код события: 1054

Дата: 08.04.2011

Время: 11:31:43

Пользователь: NT AUTHORITY\SYSTEM

Компьютер: 301-1

Описание:

Не удалось получить имя контроллера домена в этой сети. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена.

Тип события: Ошибка

Источник события: Userenv

Категория события: Отсутствует

Код события: 1054

Дата: 08.04.2011

Время: 11:32:10

Пользователь: NT AUTHORITY\SYSTEM

Компьютер: 301-1

Описание:

Не удалось получить имя контроллера домена в этой сети. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена.

Тип события: Ошибка

Источник события: AutoEnrollment

Категория события: Отсутствует

Код события: 15

Дата: 08.04.2011

Время: 11:32:11

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Автоматическая подача заявки на сертификат Локальная система: не удалось связаться с каталогом Active Directory (0x8007054b). Указанный домен не существует или к нему невозможно подключиться.

Подача заявки выполнена не будет.

После правки реестра:

Тип события: Ошибка

Источник события: NETLOGON

Категория события: Отсутствует

Код события: 5719

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Для домена DKS нет доступного контроллера домена. Ошибка:

Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть. .

Убедитесь в том, что компьютер подключен к сети и повторите попытку. Если ошибка повторяется, обратитесь к сетевому администратору.

Данные:

0000: 5e 00 00 c0 ^..À

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40960

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Система безопасности обнаружила попытку атаки для понижения роли сервера cifs/MONSTER. Полученный от протокола проверки подлинности Kerberos код ошибки: "Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.

(0xc000005e)".

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40961

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Системе безопасности не удалось установить безопасное подключение к серверу cifs/MONSTER. Отсутствуют доступные протоколы проверки подлинности.

Тип события: Предупреждение

Источник события: W32Time

Категория события: Отсутствует

Код события: 14

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

NTP-клиент поставщика времени не смог найти контроллер домена для использования как поставщика времени. NTP-клиент повторит попытку через 15 мин.

Тип события: Ошибка

Источник события: W32Time

Категория события: Отсутствует

Код события: 29

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

The NTP-клиент поставщика времени настроен на получение времени из одного или нескольких источников, однако ни один из этих источников недоступен. Попытки подключения к источнику не будут выполняться в течение 14 мин. NTP-клиент не имеет источника правильного времени.

После праки реестра

Тип события: Ошибка

Источник события: NETLOGON

Категория события: Отсутствует

Код события: 5719

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Для домена DKS нет доступного контроллера домена. Ошибка:

Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть. .

Убедитесь в том, что компьютер подключен к сети и повторите попытку. Если ошибка повторяется, обратитесь к сетевому администратору.

Данные:

0000: 5e 00 00 c0 ^..À

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40960

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Система безопасности обнаружила попытку атаки для понижения роли сервера cifs/MONSTER. Полученный от протокола проверки подлинности Kerberos код ошибки: "Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.

(0xc000005e)".

Тип события: Предупреждение

Источник события: LSASRV

Категория события: SPNEGO (согласователь)

Код события: 40961

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

Системе безопасности не удалось установить безопасное подключение к серверу cifs/MONSTER. Отсутствуют доступные протоколы проверки подлинности.

Тип события: Предупреждение

Источник события: W32Time

Категория события: Отсутствует

Код события: 14

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

NTP-клиент поставщика времени не смог найти контроллер домена для использования как поставщика времени. NTP-клиент повторит попытку через 15 мин.

Тип события: Ошибка

Источник события: W32Time

Категория события: Отсутствует

Код события: 29

Дата: 08.04.2011

Время: 11:47:42

Пользователь: Н/Д

Компьютер: 301-1

Описание:

The NTP-клиент поставщика времени настроен на получение времени из одного или нескольких источников, однако ни один из этих источников недоступен. Попытки подключения к источнику не будут выполняться в течение 14 мин. NTP-клиент не имеет источника правильного времени.

Причём половина клиентов не испытывают затруднений в работе, а у второй вот такие ошибки и мелкие загвоздки...

[Maikll]

Если ошибки про днс после правки реестра не появляются - это уже прогресс.

Продолжаем начатую в прошлый раз работу - приводим все к "стандарту".

Из своего опыта могу сказать, что в большинстве случаев ошибки 5719 и 40960 на клиентах из-за того, что сеть стартует позже входа в систему.

На этих клиентах потребуется дополнительная настройка.

Во-первых,настраиваем политику для домена. Это обязательное условие. Проблемным клиентам принудительно (gpupdate /force) применяем ее. Перегружаемся.

Возможно, что ошибки уйдут уже после этих действий, если нет, то...

Во-вторых, правим в реестре GpNetworkStartTimeoutPolicyValue, читая предварительно http://support.microsoft.com/kb/326152/ru и http://support.microsoft.com/kb/840669/ru

Опять проверяем перезагрузкой.

Последним способом можно еще попробовать поднять приоритет запуска сетевой, но это будет индивидуально для каждого производителя сетевого чипа.

Пример для встроенной сетевой nvidea - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NVENETFD, имя последнего раздела будет различаться в зависимости от производителя сетевой. В разделе меняем значение параметра Start с 3 на 0.

В целом, направление такое, пробуй.