Ошибка 1355 указанный домен не существует или к нему невозможно подключиться

Всем привет! Прошу помощи по AD, создаю новый домен в новом лесу на платформе Windows Server 2012 Std, после перезагрузки все службы выдают: 1355 Указанный домен не существует или к нему невозможно подключиться.

По порядку.

Аппаратная платформа: HP ML350 Gen9 RAID1 2×1Тб.

ОС: Windows Server 2012 (на время экспериментов ознакомительная версия) обновления установлены.

Ошибки в логах:

Лог Directory Service

—————

===========

Лог DNS

Имя журнала:   DNS Server
Источник:      Microsoft-Windows-DNS-Server-Service
Дата:          10.01.2015 22:11:27
Код события:   4013
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     DC.NOVPT.local
Описание:
DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут
быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера
для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.
Xml события:
<Event xmlns=»http://schemas.microsoft.com/win/2004/08/events/event»>
  <System>
    <Provider Name=»Microsoft-Windows-DNS-Server-Service» Guid=»{71A551F5-C893-4849-886B-B5EC8502641E}» EventSourceName=»DNS» />
    <EventID Qualifiers=»32768″>4013</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime=»2015-01-10T19:11:27.000000000Z» />
    <EventRecordID>30</EventRecordID>
    <Correlation />
    <Execution ProcessID=»0″ ThreadID=»0″ />
    <Channel>DNS Server</Channel>
    <Computer>DC.NOVPT.local</Computer>
    <Security />
  </System>
  <EventData Name=»DNS_EVENT_DS_OPEN_WAIT»>
  </EventData>
</Event>

————

Имя журнала:   DNS Server
Источник:      Microsoft-Windows-DNS-Server-Service
Дата:          10.01.2015 22:19:49
Код события:   4512
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога DomainDnsZones.NOVPT.local. Ошибка 9906.
Xml события:
<Event xmlns=»http://schemas.microsoft.com/win/2004/08/events/event»>
  <System>
    <Provider Name=»Microsoft-Windows-DNS-Server-Service» Guid=»{71A551F5-C893-4849-886B-B5EC8502641E}» EventSourceName=»DNS» />
    <EventID Qualifiers=»32768″>4512</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime=»2015-01-10T19:19:49.000000000Z» />
    <EventRecordID>33</EventRecordID>
    <Correlation />
    <Execution ProcessID=»0″ ThreadID=»0″ />
    <Channel>DNS Server</Channel>
    <Computer>DC.NOVPT.local</Computer>
    <Security />
  </System>
  <EventData Name=»DNS_EVENT_DP_CANT_CREATE_BUILTIN»>
    <Data Name=»param1″>DomainDnsZones.NOVPT.local</Data>
    <Data Name=»param2″>9906</Data>
    <Binary>B2260000</Binary>
  </EventData>
</Event>

————-

Имя журнала:   DNS Server
Источник:      Microsoft-Windows-DNS-Server-Service
Дата:          10.01.2015 22:19:49
Код события:   4512
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога ForestDnsZones.NOVPT.local. Ошибка 9906.
Xml события:
<Event xmlns=»http://schemas.microsoft.com/win/2004/08/events/event»>
  <System>
    <Provider Name=»Microsoft-Windows-DNS-Server-Service» Guid=»{71A551F5-C893-4849-886B-B5EC8502641E}» EventSourceName=»DNS» />
    <EventID Qualifiers=»32768″>4512</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime=»2015-01-10T19:19:49.000000000Z» />
    <EventRecordID>34</EventRecordID>
    <Correlation />
    <Execution ProcessID=»0″ ThreadID=»0″ />
    <Channel>DNS Server</Channel>
    <Computer>DC.NOVPT.local</Computer>
    <Security />
  </System>
  <EventData Name=»DNS_EVENT_DP_CANT_CREATE_BUILTIN»>
    <Data Name=»param1″>ForestDnsZones.NOVPT.local</Data>
    <Data Name=»param2″>9906</Data>
    <Binary>B2260000</Binary>
  </EventData>
</Event>

————

Имя журнала:   DNS Server
Источник:      Microsoft-Windows-DNS-Server-Service
Дата:          10.01.2015 22:40:21
Код события:   4015
Категория задачи:Отсутствует
Уровень:       Ошибка
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     DC.NOVPT.local
Описание:
DNS-сервер обнаружил критическую ошибку Active Directory. Проверьте работоспособность Active Directory. Дополнительная отладочная информация об ошибке: «00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355» (может отсутствовать).
Данные о событии содержат сведения об ошибке.
Xml события:
<Event xmlns=»http://schemas.microsoft.com/win/2004/08/events/event»>
  <System>
    <Provider Name=»Microsoft-Windows-DNS-Server-Service» Guid=»{71A551F5-C893-4849-886B-B5EC8502641E}» EventSourceName=»DNS» />
    <EventID Qualifiers=»49152″>4015</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime=»2015-01-10T19:40:21.000000000Z» />
    <EventRecordID>35</EventRecordID>
    <Correlation />
    <Execution ProcessID=»0″ ThreadID=»0″ />
    <Channel>DNS Server</Channel>
    <Computer>DC.NOVPT.local</Computer>
    <Security />
  </System>
  <EventData Name=»DNS_EVENT_DS_INTERFACE_ERROR»>
    <Data Name=»param1″>00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355</Data>
    <Binary>34000000</Binary>
  </EventData>
</Event>

==================

Лог Репликация DFS

=================

В результате вывод команды dcdiag выглядит так:

Диагностика сервера каталогов

Выполнение начальной настройки:
   Выполняется попытка поиска основного сервера…
   Основной сервер = DC
   * Определен лес AD.
   Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

   Сервер проверки: Default-First-Site-NameDC
      Запуск проверки: Connectivity
         ……………………. DC — пройдена проверка Connectivity

Выполнение основных проверок

   Сервер проверки: Default-First-Site-NameDC
      Запуск проверки: Advertising
         Неустранимая ошибка: сбой при вызове DsGetDcName (DC), ошибка 1355
         Локатору не удается найти сервер.
         ……………………. DC — не пройдена проверка Advertising
      Запуск проверки: FrsEvent
         ……………………. DC — пройдена проверка FrsEvent
      Запуск проверки: DFSREvent
         За последние 24 часа после предоставления SYSVOL в общий доступ зафиксированы предупреждения или сообщения  об
         ошибках.  Сбои при репликации SYSVOL могут стать причиной проблем групповой политики.
         ……………………. DC — не пройдена проверка DFSREvent
      Запуск проверки: SysVolCheck
         ……………………. DC — пройдена проверка SysVolCheck
      Запуск проверки: KccEvent
         ……………………. DC — пройдена проверка KccEvent
      Запуск проверки: KnowsOfRoleHolders
         ……………………. DC — пройдена проверка KnowsOfRoleHolders
      Запуск проверки: MachineAccount
         ……………………. DC — пройдена проверка MachineAccount
      Запуск проверки: NCSecDesc
         ……………………. DC — пройдена проверка NCSecDesc
      Запуск проверки: NetLogons
         Не удается подключиться к общему ресурсу NETLOGON. (\DCnetlogon)
         [DC] Сбой операции net use или LsaPolicy с ошибкой 67, Не найдено сетевое имя..
         ……………………. DC — не пройдена проверка NetLogons
      Запуск проверки: ObjectsReplicated
         ……………………. DC — пройдена проверка ObjectsReplicated
      Запуск проверки: Replications
         ……………………. DC — пройдена проверка Replications
      Запуск проверки: RidManager
         ……………………. DC — пройдена проверка RidManager
      Запуск проверки: Services
         ……………………. DC — пройдена проверка Services
      Запуск проверки: SystemLog
         Возникло предупреждение. Код события (EventID): 0x000003F6
            Время создания: 01/10/2015   22:18:23
            Строка события:
            Разрешение имен для имени _ldap._tcp.NOVPT. истекло после отсутствия ответа от настроенных серверов DNS.
         Возникла ошибка. Код события (EventID): 0x00000423
            Время создания: 01/10/2015   23:11:41
            Строка события: Служба DHCP не смогла обнаружить папку для авторизации сервера.
         Возникла ошибка. Код события (EventID): 0xC00038D6
            Время создания: 01/10/2015   23:14:19
            Строка события:
            Службе пространства имен не удалось инициализировать сведения о доверительных отношениях между лесами на это
м контроллере домена; она будет периодически повторять выполнение операции. Код возврата находится в данных.
         ……………………. DC — не пройдена проверка SystemLog
      Запуск проверки: VerifyReferences
         ……………………. DC — пройдена проверка VerifyReferences

   Выполнение проверок разделов на: Schema
      Запуск проверки: CheckSDRefDom
         ……………………. Schema — пройдена проверка CheckSDRefDom
      Запуск проверки: CrossRefValidation
         ……………………. Schema — пройдена проверка CrossRefValidation

   Выполнение проверок разделов на: Configuration
      Запуск проверки: CheckSDRefDom
         ……………………. Configuration — пройдена проверка CheckSDRefDom
      Запуск проверки: CrossRefValidation
         ……………………. Configuration — пройдена проверка CrossRefValidation

   Выполнение проверок разделов на: NOVPT
      Запуск проверки: CheckSDRefDom
         ……………………. NOVPT — пройдена проверка CheckSDRefDom
      Запуск проверки: CrossRefValidation
         ……………………. NOVPT — пройдена проверка CrossRefValidation

   Выполнение проверок предприятия на: NOVPT.local
      Запуск проверки: LocatorCheck
         Внимание! Сбой при вызове функции DcGetDcName(GC_SERVER_REQUIRED), ошибка 1355
         Не удается найти сервер глобального каталога — все глобальные каталоги отключены.
         Внимание! Сбой при вызове функции DcGetDcName(TIME_SERVER), ошибка 1355
         Не удается найти сервер времени.
         Сервер, которому принадлежит роль PDC, отключен.
         Внимание! Сбой при вызове функции DcGetDcName(GOOD_TIME_SERVER_PREFERRED), ошибка 1355
         Не удается найти сервер точного времени.
         Внимание! Сбой при вызове функции DcGetDcName(KDC_REQUIRED), ошибка 1355
         Не удается найти центр распространения ключей (KDC) — все KDC отключены.
         ……………………. NOVPT.local — не пройдена проверка LocatorCheck
      Запуск проверки: Intersite
         ……………………. NOVPT.local — пройдена проверка Intersite

==================

nslookup

> PS C:UsersАдминистратор> nslookup novpt.local
╤хЁтхЁ:  UnKnown
Address:  192.168.1.1

╚ь :     novpt.local
Address:  192.168.1.1

=======

Вывод команды Ipconfig /all

C:UsersАдминистратор>Ipconfig /all

Настройка протокола IP для Windows

   Имя компьютера  . . . . . . . . . : DC
   Основной DNS-суффикс  . . . . . . : NOVPT.local
   Тип узла. . . . . . . . . . . . . : Гибридный
   IP-маршрутизация включена . . . . : Нет
   WINS-прокси включен . . . . . . . : Нет
   Порядок просмотра суффиксов DNS . : NOVPT.local

Ethernet adapter Embedded LOM 1 Port 1:

   DNS-суффикс подключения . . . . . :
   Описание. . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet #2
   Физический адрес. . . . . . . . . : FC-15-B4-84-44-52
   DHCP включен. . . . . . . . . . . : Нет
   Автонастройка включена. . . . . . : Да
   IPv4-адрес. . . . . . . . . . . . : 192.168.1.1(Основной)
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз. . . . . . . . . : 192.168.1.3
   DNS-серверы. . . . . . . . . . . : 192.168.1.1
   NetBios через TCP/IP. . . . . . . . : Включен

На форуме встречал идентичную ситуацию, описывалась проблема с DFS, рекомендации помеченные в качестве ответа выполнить команду PS: (Get-WmiObject -Namespace «RootMicrosoftDFS» -Class DfsrVolumeConfig).ResumeReplication()

Вот мой результат выполнения:

PS C:UsersАдминистратор> (Get-WmiObject -Namespace «RootMicrosoftDFS» -Class DfsrVolumeConfig).ResumeReplication()
Невозможно вызвать метод для выражения со значением NULL.
строка:1 знак:1
+ (Get-WmiObject -Namespace «RootMicrosoftDFS» -Class DfsrVolumeConfig).ResumeRep …
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidOperation: (:) [], RuntimeException
    + FullyQualifiedErrorId : InvokeMethodOnNull

Очень прошу помощи в решении сложившейся проблемы. Заранее благодарен.

Указанный домен не существует или к нему невозможно подключиться при загрузке windows

Сообщения: 1070
Благодарности: 17

раздача ip происходит нормально, соответственно сервер пингуется, на клиентах указана автоматическое получение dns, клиенты win xp sp1, sp2

непонятно что за адреса DNS вы клиентам раздаете..

давайте ipconfig /all с клиета и сервера..

ЗЫЫ просили вас уже и об этов в предыдущей теме..

ЗЫЫЫ еще раз прочитайте рекомендаци по работе в разделе. вам же будет лучше.

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 1070
Благодарности: 17

почему dhcp автоматом не говорит правильный dns, ведь по идее в ней есть поддержка dns.

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 15
Благодарности:

У меня сервер 2003 на нем поднята AD, мал по малу завел в домен всех пользовалелей. Через какое то время пошла ошибка:

На моей рабочей станции (и у некоторых uesrов но не у всех!) ошибка такая:

Не удалось получить имя контроллера домена в этой сети. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена.

Как и просил модератор xoxmodav

Опиши структуру своей локальной сети.

Имеется контроллер домена Server 2003 SP1 EE (2 сетевые кары одна в локальную сеть IP 192.168.7.1, другая на маршрутизатор IP 192.168.8.2) имеется еще один сервер Server 2003 SP1 (файловый сервер) он в домене, и много пользовательских компов XP, Win 2000, Win98 всего 80 компов. Имеется с вязь с вышестоящей организацией через маршрутизатор и АДСЛ модем. Чтобы мои пользователи ходили в папки файл сервера вышестоящей организации на сервере включена маршрутизация.

Опиши все шаги, которые ты предпринимал и что из этого получалось.

Проверил
• Sc query HTTPFilter
• Sc query KDC
• Sc query Netlogon
• Sc query NTLMssp
• Sc query PolicyAgent
• Sc query ProtectedStorage
• Sc query SamSs
• Sc query Eventlog
• Sc query PlugPlay
Вроде нормально TYPE имеет значение 20 WIN32_SHARE_PROCESS за исключением Sc query ProtectedStorage у нее не 20 а 120

Источник

ИСПРАВЛЕНИЕ: Указанный домен либо не существует, либо с ним нельзя связаться (решено)

В этом руководстве содержатся инструкции по устранению следующей проблемы при попытке присоединить компьютер под управлением Windows к существующему домену: «Указанный домен либо не существует, либо с ним нельзя связаться».

Ошибка «Указанный домен либо не существует, либо с ним невозможно связаться» обычно возникает из-за неверных настроек DNS на стороне рабочей станции, поскольку Active Directory требует правильной работы DNS домена (а не адреса маршрутизатора).

Как исправить: указанный домен не существует или с ним нельзя связаться.

Предположим, что ваш контроллер домена Active Directory (и DNS-сервер) является машиной Windows Server 2016, отвечает за домен «wintips.local» и имеет IP-адрес «192.168.1.10».

В этом примере IP-адрес и предпочтительный DNS-адрес на основном контроллере домена (сервер 2016) должны быть одинаковыми, например,

Способ 1. Установите предпочтительный адрес DNS-сервера в соответствии с IP-адресом контроллера домена (на рабочей станции клиента)

Чтобы устранить ошибку «Указанный домен не существует или не может быть подключен», необходимо настроить IP-адрес предпочитаемого DNS-сервера так, чтобы он указывал на IP-адрес основного контроллера домена на каждой клиентской рабочей станции, к которой вы хотите присоединиться в домене. Для этого:

1. открыто Центр коммуникаций и передачи данных.
2. Щелкните правой кнопкой мыши на Подключение по локальной сети и нажмите свойства.
3. Двойной клик по Интернет-протокол TCP / IPv4.
4. Изменить Предпочитаемый DNS-сервер адрес, соответствующий IP-адресу основного контроллера домена (например, «192.168.1.10» в этом примере).
6. щелчок хорошо дважды и закройте все окна.

7. Попробуйте присоединиться к рабочей станции в Домене.

Способ 2. Укажите IP-адрес сервера WINS на клиенте.

Если ваш контроллер домена Active Directory также выступает в качестве сервера WINS, установите IP-адрес WINS так, чтобы он указывал на WINS-сервер (IP-адрес основного контроллера домена) * на клиентском компьютере, который вы хотите присоединить к домену. Для этого:

* Примечание. Этот метод работает, даже если основной контроллер домена не выступает в качестве сервера WINS.

1. открыто Центр коммуникаций и передачи данных.
2. Щелкните правой кнопкой мыши на Подключение по локальной сети и нажмите свойства.
3. Двойной клик по Интернет-протокол TCP / IPv4.

4. Нажмите на продвинутый кнопка.

5. В WINS нажмите вкладку Добавлять.

6. Введите в поле IP-адрес сервера WINS IP-адрес сервера WINS (например, «192.168.1.10» в этом примере) и нажмите Добавлять.

7. Нажмите хорошо три (3) раза, чтобы применить изменения и закрыть все окна.

8. Попробуйте присоединиться к машине в Домене.

Это оно! Дайте мне знать, если это руководство помогло вам, оставив свой комментарий о вашем опыте. Пожалуйста, любите и делитесь этим руководством, чтобы помочь другим.

Источник

Указанный домен не существует или к нему невозможно подключиться при загрузке windows

Вопрос

Имеется Сервер 1 под управление Windows Server 2012 Standart, на котором настроены удаленные приложения. Данный сервер входит в домен, который расположен на Сервере 2 под управлением Windows Server 2008R2 (контроллер домена).

Периодически (раз в 3 дня) пользователи удаленного приложения при попытке подключиться видят сообщение «Указанный домен не существует или к нему невозможно подключиться» Я так и не могу понять в чем проблема. В качестве ДНС на Сервер 1 указан IP Сервера 2. В данные момент помогает только перезагрузка Сервер 1, но это не решение проблемы.

Помогите разобраться в проблеме и решить ее.

Ответы

Периодически такая ошибка:

Системе не удалось зарегистрировать записи ресурсов (А или АААА) узла для сетевого адаптера

со следующими параметрами:

192.168.0.1, 8.8.8.8

Отправка обновления на сервер:

Зарегистрировать эти записи ресурсов не удалось, так как DNS-сервер не выполнил запрос на обновление. Наиболее вероятная причина: на полномочном DNS-сервере, который необходим для обработки этого запроса на обновление, заблокирована зона — вероятно, из-за процесса передачи этой зоны.

Можно попытаться зарегистрировать в DNS сетевой адаптер и его параметры вручную — ввести в командной строке команду «ipconfig /registerdns». Если проблема сохранится, обратитесь к администратору DNS-сервера или сети.

(На сервере 2 сетевые: 1 смотрит в локальную сеть, 2 в интернет)

Периодически вот такая ошибка:

Ошибка при обработке групповой политики. Не удалось разрешить имя компьютера. Возможные причины:
a) Ошибка разрешения имен на текущем контроллере домена.
b) Запаздывание репликации Active Directory (созданная на другом контроллере домена учетная запись еще не реплицирована на текущий контроллер домена).

А еще вот такая:

Компьютер не может установить безопасный сеанс связи с контроллером домена MY по следующей причине:
Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.
Это может затруднить проверку подлинности. Убедитесь, что компьютер подключен к сети. Если ошибка повторится, обратитесь к администратору домена.

Дополнительные сведения
Если данный компьютер является контроллером указанного домена, он устанавливает безопасный сеанс связи с эмулятором основного контроллера этого домена. В противном случае компьютер устанавливает безопасный сеанс связи с произвольным контроллером данного домена.

Уберите 8.8.8.8 из списка серверов DNS.

Источник

Указанный домен не существует или к нему невозможно подключиться при загрузке windows

Вопрос

Всем привет! Прошу помощи по AD, создаю новый домен в новом лесу на платформе Windows Server 2012 Std, после перезагрузки все службы выдают: 1355 Указанный домен не существует или к нему невозможно подключиться.

Аппаратная платформа: HP ML350 Gen9 RAID1 2×1Тб.

ОС: Windows Server 2012 (на время экспериментов ознакомительная версия) обновления установлены.

Лог Directory Service

Имя журнала: Directory Service
Источник: Microsoft-Windows-ActiveDirectory_DomainService
Дата: 10.01.2015 22:26:11
Код события: 1126
Категория задачи:Глобальный каталог
Уровень: Ошибка
Ключевые слова:Классический
Пользователь: АНОНИМНЫЙ ВХОД
Компьютер: DC.NOVPT.local
Описание:
Доменным службам Active Directory не удается подключиться к глобальному каталогу.

Дополнительные данные
Значение ошибки:
1355 Указанный домен не существует или к нему невозможно подключиться.
Внутренний идентификатор:
3200e24

Действие пользователя:
Убедитесь, что глобальный каталог находится в лесу и доступен для контроллера домена. Для диагностики можно использовать программу NLTEST.
Xml события:

1126
0
2
18
0
0x8080000000000000

78

Directory Service
DC.NOVPT.local

3200e24
1355
Указанный домен не существует или к нему невозможно подключиться.

Имя журнала: Directory Service
Источник: Microsoft-Windows-ActiveDirectory_DomainService
Дата: 10.01.2015 22:27:38
Код события: 1844
Категория задачи:Разрешение имен
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: NOVPTАдминистратор
Компьютер: DC.NOVPT.local
Описание:
Локальному контроллеру домена не удается подключиться к следующему контроллеру домена, хранящему следующий раздел каталога, для разрешения различающихся имен.

Раздел каталога:
NOVPT.local

Дополнительные данные
Значение ошибки:
1355 Указанный домен не существует или к нему невозможно подключиться.
Внутренний ID:
3200e24
Xml события:

1844
0
3
13
0
0x8080000000000000

79

Directory Service
DC.NOVPT.local

NOVPT.local
1355
3200e24
Указанный домен не существует или к нему невозможно подключиться.

Лог DNS

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:11:27
Код события: 4013
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.
Xml события:

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:19:49
Код события: 4512
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога DomainDnsZones.NOVPT.local. Ошибка 9906.
Xml события:

4512
0
3
0
0
0x80000000000000

33

DNS Server
DC.NOVPT.local

DomainDnsZones.NOVPT.local
9906
B2260000

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:19:49
Код события: 4512
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога ForestDnsZones.NOVPT.local. Ошибка 9906.
Xml события:

4512
0
3
0
0
0x80000000000000

34

DNS Server
DC.NOVPT.local

ForestDnsZones.NOVPT.local
9906
B2260000

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:40:21
Код события: 4015
Категория задачи:Отсутствует
Уровень: Ошибка
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер обнаружил критическую ошибку Active Directory. Проверьте работоспособность Active Directory. Дополнительная отладочная информация об ошибке: «00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355» (может отсутствовать). Данные о событии содержат сведения об ошибке.
Xml события:

4015
0
2
0
0
0x80000000000000

35

DNS Server
DC.NOVPT.local

00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355
34000000

Лог Репликация DFS

Имя журнала: DFS Replication
Источник: DFSR
Дата: 10.01.2015 22:54:16
Код события: 6016
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
Службе репликации DFS не удалось обновить конфигурацию в доменных службах Active Directory. Служба периодически будет пытаться повторить эту операцию.

Дополнительные сведения:
Категория объекта: msDFSR-LocalSettings
DN объекта: CN=DFSR-LocalSettings,CN=DC,OU=Domain Controllers,DC=NOVPT,DC=local
Ошибка: 1355 (Указанный домен не существует или к нему невозможно подключиться.)
Контроллер домена:
Цикл опроса: 60
Xml события:

6016
3
0
0x80000000000000

63
DFS Replication
DC.NOVPT.local

msDFSR-LocalSettings
CN=DFSR-LocalSettings,CN=DC,OU=Domain Controllers,DC=NOVPT,DC=local
1355
Указанный домен не существует или к нему невозможно подключиться.

60

В результате вывод команды dcdiag выглядит так:

Диагностика сервера каталогов

Выполнение начальной настройки:
Выполняется попытка поиска основного сервера.
Основной сервер = DC
* Определен лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Выполнение основных проверок

nslookup

> PS C:UsersАдминистратор> nslookup novpt.local
╤хЁтхЁ: UnKnown
Address: 192.168.1.1

╚ь : novpt.local
Address: 192.168.1.1

Вывод команды Ipconfig /all

Настройка протокола IP для Windows

Ethernet adapter Embedded LOM 1 Port 1:

Вот мой результат выполнения:

+ CategoryInfo : InvalidOperation: (:) [], RuntimeException
+ FullyQualifiedErrorId : InvokeMethodOnNull

Очень прошу помощи в решении сложившейся проблемы. Заранее благодарен.

Источник

Указанный домен не существует или к нему невозможно подключиться при загрузке windows

Вопрос

Имеется Сервер 1 под управление Windows Server 2012 Standart, на котором настроены удаленные приложения. Данный сервер входит в домен, который расположен на Сервере 2 под управлением Windows Server 2008R2 (контроллер домена).

Периодически (раз в 3 дня) пользователи удаленного приложения при попытке подключиться видят сообщение «Указанный домен не существует или к нему невозможно подключиться» Я так и не могу понять в чем проблема. В качестве ДНС на Сервер 1 указан IP Сервера 2. В данные момент помогает только перезагрузка Сервер 1, но это не решение проблемы.

Помогите разобраться в проблеме и решить ее.

Ответы

Периодически такая ошибка:

Системе не удалось зарегистрировать записи ресурсов (А или АААА) узла для сетевого адаптера

со следующими параметрами:

192.168.0.1, 8.8.8.8

Отправка обновления на сервер:

Зарегистрировать эти записи ресурсов не удалось, так как DNS-сервер не выполнил запрос на обновление. Наиболее вероятная причина: на полномочном DNS-сервере, который необходим для обработки этого запроса на обновление, заблокирована зона — вероятно, из-за процесса передачи этой зоны.

Можно попытаться зарегистрировать в DNS сетевой адаптер и его параметры вручную — ввести в командной строке команду «ipconfig /registerdns». Если проблема сохранится, обратитесь к администратору DNS-сервера или сети.

(На сервере 2 сетевые: 1 смотрит в локальную сеть, 2 в интернет)

Периодически вот такая ошибка:

Ошибка при обработке групповой политики. Не удалось разрешить имя компьютера. Возможные причины:
a) Ошибка разрешения имен на текущем контроллере домена.
b) Запаздывание репликации Active Directory (созданная на другом контроллере домена учетная запись еще не реплицирована на текущий контроллер домена).

А еще вот такая:

Компьютер не может установить безопасный сеанс связи с контроллером домена MY по следующей причине:
Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.
Это может затруднить проверку подлинности. Убедитесь, что компьютер подключен к сети. Если ошибка повторится, обратитесь к администратору домена.

Дополнительные сведения
Если данный компьютер является контроллером указанного домена, он устанавливает безопасный сеанс связи с эмулятором основного контроллера этого домена. В противном случае компьютер устанавливает безопасный сеанс связи с произвольным контроллером данного домена.

Уберите 8.8.8.8 из списка серверов DNS.

Источник

04.07.13 — 13:43

1 — 04.07.13 — 13:47

Еще пишет

DNS-сервер не может создать встроенный раздел каталога ForestDnsZones.corp.konvers.net. Ошибка 9906.

2 — 04.07.13 — 13:51

ипу поменяй

3 — 04.07.13 — 13:52

кто же сервис на лупбак вешает

4 — 04.07.13 — 13:54

(2) Всмысле стат. IP поменять? А в чем разница и на какой? Сейчас например установлен 192.168.0.201

5 — 04.07.13 — 13:55

(3) Не понял… можно подробнее в чем моя ошибка?

6 — 04.07.13 — 13:57

(4) что тогда значила твоя фраза — Установил статический IP с ДНСом 127.0.0.1.

7 — 04.07.13 — 13:59

Сам не пробовал, а что, можно прямо прописать в настройках сетевого интерфейса 127.0.0.1? Он же зашит на loopback?

8 — 04.07.13 — 14:00

(6) Значило, что я установил стат. IP 192.168.0.201, маску 255.255.255.0, шлюз 192.168.0.1, пер. dns 127.0.0.1

9 — 04.07.13 — 14:01

Проверь роли FSMO.

10 — 04.07.13 — 14:02

11 — 04.07.13 — 14:40

(10) Операция завершилась сбоем из-за отсутствия доступа к роли FSMO хозяина наименования доменов. Контроллер домена, исполняющий роль FSMO хозяина именования доменов, не работает, не способен обслужить этот запрос……

12 — 04.07.13 — 14:49

13 — 04.07.13 — 14:54

(12) Нет, это первый контроллер

14 — 04.07.13 — 14:59

(0) см (2)

15 — 04.07.13 — 15:01

(14) Всмысле стат. IP поменять? А в чем разница и на какой? Сейчас например установлен 192.168.0.201

16 — 04.07.13 — 15:02

Установил статический IP с ДНСом 127.0.0.1.

поставь ip 192.168.0.201

17 — 04.07.13 — 15:02

(16) Это днс у него 127.0.0.1 🙂 А адрес уже и так 201.

18 — 04.07.13 — 15:03

(17) вот и адрес DNS надо указать тот же что и у сервера

19 — 04.07.13 — 15:04

(18) Поменял, перезагружаюсь

20 — 04.07.13 — 15:22

(18) Это ничего не даст.

21 — 04.07.13 — 15:24

(18) Поменял перв. DNS на такой же как IP сервера, перезагрузился, результат тотже

22 — 04.07.13 — 15:25

Буду пробовать делать (12)

23 — 04.07.13 — 18:20

(12) После ввода команды «fsmo maintenance: connection» не просходит коннект к серверу. Может нужно вводить имя сервера или еще что-нибудь здесь?

24 — 04.07.13 — 18:21

netdiag /fix

dcdiag /fix

25 — 04.07.13 — 18:24

26 — 04.07.13 — 18:29

nslookup -type=any _ldap._tcp.default-first-site-name._sites.dc._msdcs.%userdnsdomain%

27 — 04.07.13 — 18:32

28 — 04.07.13 — 18:47

Может это какая-то аппаратная проблема? До этого на этом ПК стоял win2008R2 с Exchange, в домене, но он контроллером не являлся. Потом я удалил контроллер и решил сделать этот ПК контроллером домена, для этого вывел его из домена, установил роли домена и dns, и все было тоже самое, долго думал при загрузке, доменные косоли не открывались… Я подумал, может что с виндой, поставил Win2012 и здесь тоже самое…

29 — 04.07.13 — 18:57

А может что и с DNS… потому как ошибок при установке ОС, ролей никаких не было…

30 — 05.07.13 — 10:07

Свежих идей нет?

База знаний —

Windows Server

На ошибку мы вышли следующим образом:

• В домен ввели новый сервер и сделали его контроллером домена
• Перенесли на него все роли и сделали сервером глобальных каталогов
• Старый сервер роли нормально не отдал
• Новый сервер не считает себя работающим контроллером домена

Диагностика

dcdiag дает : Warning: DcGetDcName(TIME_SERVER) call failed, error 1355

netdiag дает:

Domain membership test . . . . . . : Failed
[WARNING] Ths system volume has not been completely replicated to the local machine. This machine is not working properly as a DC.

В оснастке «Пользователи и компьютеры» вызываем информацию о хозяине ролей на старом сервере и видим надпись Error.

Что произошло: от старого конролера домена не прошла нормально синхронизация.

Лечение

Выполняем следующие команды:

net stop ntfrs
rd /s /q c:winntntfrsjet
net start ntfrs

После этого выполняем dcdiag и netdiag. Все тесты должны быть выполнены без ошибок.

Вопрос

День добрый, при чистой установке win 10 1803, или обновления до нее, Компьютер не могу ввести в домен (режим работы win 2008),

Вероятно, доменное имя «***» является NetBIOS-именем домена. Проверьте, что имя домена правильно зарегистрировано в WINS.

Если это имя не является NetBIOS-именем домена, следующие сведения помогут исправить ошибку в конфигурации DNS.

DNS успешно запросила запись ресурса размещения службы (SRV), используемой для нахождения контроллера домена Active Directory для домена «delva»:

Опрос проводился для SRV-записи для _ldap._tcp.dc._msdcs.delva

Этим запросом были идентифицированы следующие контроллеры домена Active Directory:

К возможным причинам этой ошибки относятся:

— Контроллеры доменов Active Directory, зарегистрированные в DNS, не подключены к сети или не запущены.

Посоветуйте что нибудь.

Ответы

Все ответы

А так же можете посмотреть статью диагностики подключения:

Если Вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку «Предложить как ответ» или «Проголосовать за полезное сообщение» Мнения, высказанные здесь, являются отражение моих личных взглядов, а не позиции корпорации Microsoft. Вся информация предоставляется «как есть» без каких-либо гарантий.

покажите с клиента и контроллера домена:

Информация с Контроллера домена:

Ethernet adapter Lan2:

Ethernet adapter LAN:

C:Userszhenya-admin>nslookup delva
╤хЁтхЁ: srvdc.delva
Address: 172.16.16.201

*** srvdc.delva не удалось найти delva: Non-existent domain

Информация с Клиента:

Настройка протокола IP для Windows

Адаптер Ethernet Ethernet:

C:Usersa.fokin>ping delva
При проверке связи не удалось обнаружить узел delva.
Проверьте имя узла и повторите попытку.

C:Usersa.fokin>nslookup delva
╤хЁтхЁ: srvdc.delva
Address: 172.16.16.201

╚ь : delva
Addresses: 172.16.16.201
172.16.16.205
172.16.16.32
199.1.199.80
172.16.16.80

Замечу что на версии win 10 1709 (и ранних) компьютеры в домен вводились без проблем.

Источник

Не удалось найти указанный домен windows 10

Вопрос

Имеется Сервер 1 под управление Windows Server 2012 Standart, на котором настроены удаленные приложения. Данный сервер входит в домен, который расположен на Сервере 2 под управлением Windows Server 2008R2 (контроллер домена).

Периодически (раз в 3 дня) пользователи удаленного приложения при попытке подключиться видят сообщение «Указанный домен не существует или к нему невозможно подключиться» Я так и не могу понять в чем проблема. В качестве ДНС на Сервер 1 указан IP Сервера 2. В данные момент помогает только перезагрузка Сервер 1, но это не решение проблемы.

Помогите разобраться в проблеме и решить ее.

Ответы

Периодически такая ошибка:

Системе не удалось зарегистрировать записи ресурсов (А или АААА) узла для сетевого адаптера

со следующими параметрами:

192.168.0.1, 8.8.8.8

Отправка обновления на сервер:

Зарегистрировать эти записи ресурсов не удалось, так как DNS-сервер не выполнил запрос на обновление. Наиболее вероятная причина: на полномочном DNS-сервере, который необходим для обработки этого запроса на обновление, заблокирована зона — вероятно, из-за процесса передачи этой зоны.

Можно попытаться зарегистрировать в DNS сетевой адаптер и его параметры вручную — ввести в командной строке команду «ipconfig /registerdns». Если проблема сохранится, обратитесь к администратору DNS-сервера или сети.

(На сервере 2 сетевые: 1 смотрит в локальную сеть, 2 в интернет)

Периодически вот такая ошибка:

Ошибка при обработке групповой политики. Не удалось разрешить имя компьютера. Возможные причины:
a) Ошибка разрешения имен на текущем контроллере домена.
b) Запаздывание репликации Active Directory (созданная на другом контроллере домена учетная запись еще не реплицирована на текущий контроллер домена).

А еще вот такая:

Компьютер не может установить безопасный сеанс связи с контроллером домена MY по следующей причине:
Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть.
Это может затруднить проверку подлинности. Убедитесь, что компьютер подключен к сети. Если ошибка повторится, обратитесь к администратору домена.

Дополнительные сведения
Если данный компьютер является контроллером указанного домена, он устанавливает безопасный сеанс связи с эмулятором основного контроллера этого домена. В противном случае компьютер устанавливает безопасный сеанс связи с произвольным контроллером данного домена.

Уберите 8.8.8.8 из списка серверов DNS.

Источник

Исправлено: указанный домен либо не существует, либо с ним нельзя связаться —

Эта ошибка появляется при попытке подключиться к домену в любой операционной системе Windows. Ошибка появляется после ввода имени пользователя и правильного пароля, и устранение неполадок может быть довольно сложным, если вы не знаете, с чего начать.

Указанный домен либо не существует, либо с ним нельзя связаться

Существует довольно много методов, которые обычно используются при устранении неполадок, и мы решили собрать наиболее популярные решения в одном месте и представить их вам в статье. Проверьте это ниже!

Причины, по которым указанный домен либо не существует, либо не удалось связаться?

Когда упоминается эта ошибка, большинство людей автоматически предполагают, что она имеет отношение к DNS-адресам. Это может быть верно в большинстве случаев, но есть и другие причины этой проблемы, и они включены в список ниже:

Решение 1. Измените DNS-адрес, который вы используете

Запуск CMD в качестве администратора

Открытие настроек IPv4

Решение 2. Отключите IPv6 и выполните несколько полезных команд

Ошибка также возникает, если для используемого вами подключения к Интернету включен протокол Интернета версии 6 (IPv6). Это также должно быть сделано на клиентском компьютере, и ошибка должна исчезнуть после отключения IPv6. Тем не менее, вторая часть решения состоит в сбросе определенных настроек, касающихся соединения, которые определенно должны решить проблему.

Изменить настройки адаптера на панели управления

После этого лучшее, что вы можете сделать, — запустить цикл полезных команд «ipconfig», которые обязательно перезапустят соединение в сети и предотвратят полное появление будущих ошибок.

Открытие командной строки через диалоговое окно «Выполнить»

Решение 3. Измените определенный раздел реестра

Изменение этой записи упоминается как решение выбора и для других проблем, и люди часто обращались к этому методу за помощью, так как другие методы не давали хороших результатов. Тем не менее, это последний метод работы, который мы предлагаем в качестве решения, и мы надеемся, что он сможет решить эту проблему для вас.

Поскольку вы собираетесь редактировать раздел реестра, рекомендуем вам ознакомиться с этой статьей, которую мы опубликовали, чтобы вы могли безопасно создавать резервные копии реестра, чтобы избежать других проблем. Таким образом, вы можете легко отменить внесенные изменения, если что-то пойдет не так.

Изменение ключа SysvolReady в реестре

Источник

ИСПРАВЛЕНИЕ: Указанный домен либо не существует, либо с ним нельзя связаться (решено)

В этом руководстве содержатся инструкции по устранению следующей проблемы при попытке присоединить компьютер под управлением Windows к существующему домену: «Указанный домен либо не существует, либо с ним нельзя связаться».

Ошибка «Указанный домен либо не существует, либо с ним невозможно связаться» обычно возникает из-за неверных настроек DNS на стороне рабочей станции, поскольку Active Directory требует правильной работы DNS домена (а не адреса маршрутизатора).

Как исправить: указанный домен не существует или с ним нельзя связаться.

Предположим, что ваш контроллер домена Active Directory (и DNS-сервер) является машиной Windows Server 2016, отвечает за домен «wintips.local» и имеет IP-адрес «192.168.1.10».

В этом примере IP-адрес и предпочтительный DNS-адрес на основном контроллере домена (сервер 2016) должны быть одинаковыми, например,

Способ 1. Установите предпочтительный адрес DNS-сервера в соответствии с IP-адресом контроллера домена (на рабочей станции клиента)

Чтобы устранить ошибку «Указанный домен не существует или не может быть подключен», необходимо настроить IP-адрес предпочитаемого DNS-сервера так, чтобы он указывал на IP-адрес основного контроллера домена на каждой клиентской рабочей станции, к которой вы хотите присоединиться в домене. Для этого:

1. открыто Центр коммуникаций и передачи данных.
2. Щелкните правой кнопкой мыши на Подключение по локальной сети и нажмите свойства.
3. Двойной клик по Интернет-протокол TCP / IPv4.
4. Изменить Предпочитаемый DNS-сервер адрес, соответствующий IP-адресу основного контроллера домена (например, «192.168.1.10» в этом примере).
6. щелчок хорошо дважды и закройте все окна.

7. Попробуйте присоединиться к рабочей станции в Домене.

Способ 2. Укажите IP-адрес сервера WINS на клиенте.

Если ваш контроллер домена Active Directory также выступает в качестве сервера WINS, установите IP-адрес WINS так, чтобы он указывал на WINS-сервер (IP-адрес основного контроллера домена) * на клиентском компьютере, который вы хотите присоединить к домену. Для этого:

* Примечание. Этот метод работает, даже если основной контроллер домена не выступает в качестве сервера WINS.

1. открыто Центр коммуникаций и передачи данных.
2. Щелкните правой кнопкой мыши на Подключение по локальной сети и нажмите свойства.
3. Двойной клик по Интернет-протокол TCP / IPv4.

4. Нажмите на продвинутый кнопка.

5. В WINS нажмите вкладку Добавлять.

6. Введите в поле IP-адрес сервера WINS IP-адрес сервера WINS (например, «192.168.1.10» в этом примере) и нажмите Добавлять.

7. Нажмите хорошо три (3) раза, чтобы применить изменения и закрыть все окна.

8. Попробуйте присоединиться к машине в Домене.

Это оно! Дайте мне знать, если это руководство помогло вам, оставив свой комментарий о вашем опыте. Пожалуйста, любите и делитесь этим руководством, чтобы помочь другим.

Источник

Не удалось найти указанный домен windows 10

Вопрос

Всем привет! Прошу помощи по AD, создаю новый домен в новом лесу на платформе Windows Server 2012 Std, после перезагрузки все службы выдают: 1355 Указанный домен не существует или к нему невозможно подключиться.

Аппаратная платформа: HP ML350 Gen9 RAID1 2×1Тб.

ОС: Windows Server 2012 (на время экспериментов ознакомительная версия) обновления установлены.

Лог Directory Service

Имя журнала: Directory Service
Источник: Microsoft-Windows-ActiveDirectory_DomainService
Дата: 10.01.2015 22:26:11
Код события: 1126
Категория задачи:Глобальный каталог
Уровень: Ошибка
Ключевые слова:Классический
Пользователь: АНОНИМНЫЙ ВХОД
Компьютер: DC.NOVPT.local
Описание:
Доменным службам Active Directory не удается подключиться к глобальному каталогу.

Дополнительные данные
Значение ошибки:
1355 Указанный домен не существует или к нему невозможно подключиться.
Внутренний идентификатор:
3200e24

Действие пользователя:
Убедитесь, что глобальный каталог находится в лесу и доступен для контроллера домена. Для диагностики можно использовать программу NLTEST.
Xml события:

1126
0
2
18
0
0x8080000000000000

78

Directory Service
DC.NOVPT.local

3200e24
1355
Указанный домен не существует или к нему невозможно подключиться.

Имя журнала: Directory Service
Источник: Microsoft-Windows-ActiveDirectory_DomainService
Дата: 10.01.2015 22:27:38
Код события: 1844
Категория задачи:Разрешение имен
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: NOVPTАдминистратор
Компьютер: DC.NOVPT.local
Описание:
Локальному контроллеру домена не удается подключиться к следующему контроллеру домена, хранящему следующий раздел каталога, для разрешения различающихся имен.

Раздел каталога:
NOVPT.local

Дополнительные данные
Значение ошибки:
1355 Указанный домен не существует или к нему невозможно подключиться.
Внутренний ID:
3200e24
Xml события:

1844
0
3
13
0
0x8080000000000000

79

Directory Service
DC.NOVPT.local

NOVPT.local
1355
3200e24
Указанный домен не существует или к нему невозможно подключиться.

Лог DNS

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:11:27
Код события: 4013
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.
Xml события:

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:19:49
Код события: 4512
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога DomainDnsZones.NOVPT.local. Ошибка 9906.
Xml события:

4512
0
3
0
0
0x80000000000000

33

DNS Server
DC.NOVPT.local

DomainDnsZones.NOVPT.local
9906
B2260000

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:19:49
Код события: 4512
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер не может создать встроенный раздел каталога ForestDnsZones.NOVPT.local. Ошибка 9906.
Xml события:

4512
0
3
0
0
0x80000000000000

34

DNS Server
DC.NOVPT.local

ForestDnsZones.NOVPT.local
9906
B2260000

Имя журнала: DNS Server
Источник: Microsoft-Windows-DNS-Server-Service
Дата: 10.01.2015 22:40:21
Код события: 4015
Категория задачи:Отсутствует
Уровень: Ошибка
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
DNS-сервер обнаружил критическую ошибку Active Directory. Проверьте работоспособность Active Directory. Дополнительная отладочная информация об ошибке: «00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355» (может отсутствовать). Данные о событии содержат сведения об ошибке.
Xml события:

4015
0
2
0
0
0x80000000000000

35

DNS Server
DC.NOVPT.local

00002189: SvcErr: DSID-03200E24, problem 5002 (UNAVAILABLE), data 1355
34000000

Лог Репликация DFS

Имя журнала: DFS Replication
Источник: DFSR
Дата: 10.01.2015 22:54:16
Код события: 6016
Категория задачи:Отсутствует
Уровень: Предупреждение
Ключевые слова:Классический
Пользователь: Н/Д
Компьютер: DC.NOVPT.local
Описание:
Службе репликации DFS не удалось обновить конфигурацию в доменных службах Active Directory. Служба периодически будет пытаться повторить эту операцию.

Дополнительные сведения:
Категория объекта: msDFSR-LocalSettings
DN объекта: CN=DFSR-LocalSettings,CN=DC,OU=Domain Controllers,DC=NOVPT,DC=local
Ошибка: 1355 (Указанный домен не существует или к нему невозможно подключиться.)
Контроллер домена:
Цикл опроса: 60
Xml события:

6016
3
0
0x80000000000000

63
DFS Replication
DC.NOVPT.local

msDFSR-LocalSettings
CN=DFSR-LocalSettings,CN=DC,OU=Domain Controllers,DC=NOVPT,DC=local
1355
Указанный домен не существует или к нему невозможно подключиться.

60

В результате вывод команды dcdiag выглядит так:

Диагностика сервера каталогов

Выполнение начальной настройки:
Выполняется попытка поиска основного сервера.
Основной сервер = DC
* Определен лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Выполнение основных проверок

nslookup

> PS C:UsersАдминистратор> nslookup novpt.local
╤хЁтхЁ: UnKnown
Address: 192.168.1.1

╚ь : novpt.local
Address: 192.168.1.1

Вывод команды Ipconfig /all

Настройка протокола IP для Windows

Ethernet adapter Embedded LOM 1 Port 1:

Вот мой результат выполнения:

+ CategoryInfo : InvalidOperation: (:) [], RuntimeException
+ FullyQualifiedErrorId : InvokeMethodOnNull

Очень прошу помощи в решении сложившейся проблемы. Заранее благодарен.

Источник

Один из механизмов Active Directory (AD), с которым могут быть связаны всевозможные затруднения, это репликация. Репликация – критически важный процесс в работе одного или более доменов или контроллеров домена (DC), и не важно, находятся они на одном сайте или на разных. Неполадки с репликацией могут привести к проблемам с аутентификацией и доступом к сетевым ресурсам. Обновления объектов AD реплицируются на контроллеры домена, чтобы все разделы были синхронизированы. В крупных компаниях использование большого количества доменов и сайтов – обычное дело. Репликация должна происходить внутри локального сайта, так же как дополнительные сайты должны сохранять данные домена и леса между всеми DC.

В этой статье речь пойдет о методах выявления проблем с репликацией в AD. Кроме того, я покажу, как находить и устранять неисправности и работать с четырьмя наиболее распространенными ошибками репликации AD:

• Error 2146893022 (главное конечное имя неверно);
• Error 1908 (не удалось найти контроллер домена);
• Error 8606 (недостаточно атрибутов для создания объекта);
• Error 8453 (доступ к репликации отвергнут).

Вы также узнаете, как анализировать метаданные репликации с помощью таких инструментов, как AD Replication Status Tool, встроенная утилита командной строки RepAdmin.exe и Windows PowerShell.

Для всестороннего рассмотрения я буду использовать лес Contoso, который показан на рисунке. В таблице 1 перечислены роли, IP-адреса и настройки DNS-клиента для компьютеров данного леса.

Рисунок. Архитектура леса

Для обнаружения неполадок с репликацией AD запустите AD Replication Status Tool на рабочей станции администратора в корневом домене леса. Например, вы открываете этот инструмент из системы Win8Client, а затем нажимаете кнопку Refresh Replication Status для уверенности в четкой коммуникации со всеми контроллерами домена. В таблице Discovery Missing Domain Controllers на странице Configuration/Scope Settings инструмента можно увидеть два недостающих контроллера домена, как показано на экране 1.

Экран 1. Два недостающих контроллера домена

В таблице Replication Status Collection Details вы можете проследить статус репликации контроллеров домена, которые никуда не пропадали, как показано на экране 2.

Экран 2. Статус репликации контроллеров домена

Пройдя на страницу Replication Status Viewer, вы обнаружите некоторые ошибки в репликации. На экране 3 видно, что возникает немалое число ошибок репликации, возникающих в лесу Contoso. Из пяти контроллеров домена два не могут видеть другие DC, а это означает, что репликация не будет происходить на контроллерах домена, которые не видны. Таким образом, пользователи, подключающиеся к дочерним DC, не будут иметь доступ к самой последней информации, что может привести к проблемам.

Экран 3. Ошибки репликации, возникающие в лесу Contoso

Поскольку ошибки репликации все же возникают, полезно задействовать утилиту командной строки RepAdmin.exe, которая помогает получить отчет о состоянии репликации по всему лесу. Чтобы создать файл, запустите следующую команду из Cmd.exe:

Repadmin /showrel * /csv > ShowRepl.csv

Проблема с двумя DC осталась, соответственно вы увидите два вхождения LDAP error 81 (Server Down) Win32 Err 58 на экране, когда будет выполняться команда. Мы разберемся с этими ошибками чуть позже. А теперь откройте ShowRepl.csv в Excel и выполните следующие шаги:

1. Из меню Home щелкните Format as table и выберите один из стилей.
2. Удерживая нажатой клавишу Ctrl, щелкните столбцы A (Showrepl_COLUMNS) и G (Transport Type). Правой кнопкой мыши щелкните в этих столбцах и выберите Hide.
3. Уменьшите ширину остальных столбцов так, чтобы был виден столбец K (Last Failure Status).
4. Для столбца I (Last Failure Time) нажмите стрелку вниз и отмените выбор 0.
5. Посмотрите на дату в столбце J (Last Success Time). Это последнее время успешной репликации.
6. Посмотрите на ошибки в столбце K (Last Failure Status). Вы увидите те же ошибки, что и в AD Replication Status Tool.

Таким же образом вы можете запустить средство RepAdmin.exe из PowerShell. Для этого сделайте следующее:

1. Перейдите к приглашению PowerShell и введите команду

Repadmin /showrepl * /csv | ConvertFrom-Csv | Out-GridView

2. В появившейся сетке выберите Add Criteria, затем Last Failure Status и нажмите Add.

3. Выберите подчеркнутое слово голубого цвета contains в фильтре и укажите does not equal.

4. Как показано на экране 4, введите 0 в поле, так, чтобы отфильтровывалось все со значением 0 (успех) и отображались только ошибки.

Экран 4. Задание фильтра

Теперь, когда вы знаете, как проверять статус репликации и обнаруживать ошибки, давайте посмотрим, как выявлять и устранять четыре наиболее распространенные неисправности.

Исправление ошибки AD Replication Error -2146893022

Итак, начнем с устранения ошибки -2146893022, возникающей между DC2 и DC1. Из DC1 запустите команду Repadmin для проверки статуса репликации DC2:

Repadmin /showrepl dc2

На экране 5 показаны результаты, свидетельствующие о том, что репликация перестала выполняться, поскольку возникла проблема с DC2: целевое основное имя неверно. Тем не менее, описание ошибки может указать ложный путь, поэтому приготовьтесь копать глубже.

Экран 5. Проблема с DC2 — целевое основное имя неверно

Во-первых, следует определить, есть ли базовое подключение LDAP между системами. Для этого запустите следующую команду из DC2:

Repadmin /bind DC1

На экране 5 видно, что вы получаете сообщение об ошибке LDAP. Далее попробуйте инициировать репликацию AD с DC2 на DC1:

Repadmin /replicate dc2 dc1 «dc=root,dc=contoso,dc=com»

И на этот раз отображается та же ошибка с главным именем, как показано на экране 5. Если открыть окно Event Viewer на DC2, вы увидите событие с Event ID 4 (см. экран 6).

Экран 6. Сообщение о событии с Event ID 4

Выделенный текст в событии указывает на причину ошибки. Это означает, что пароль учетной записи компьютера DC1 отличается от пароля, который хранится в AD для DC1 в Центре распределения ключей – Key Distribution Center (KDC), который в данном случае запущен на DC2. Значит, следующая наша задача – определить, соответствует ли пароль учетной записи компьютера DC1 тому, что хранится на DC2. В командной строке на DC1 введите две команды:

Repadmin /showobjmeta dc1 «cn=dc1,ou=domain controllers,

dc=root,dc=contoso,dc=com» > dc1objmeta1.txt

Repadmin /showobjmeta dc2 «cn=dc1,ou=domain controllers,

dc=root,dc=contoso,dc=com» > dc1objmeta2.txt

Далее откройте файлы dc1objmeta1.txt и dc1objmeta2.txt, которые были созданы, и посмотрите на различия версий для dBCSPwd, UnicodePWD, NtPwdHistory, PwdLastSet и lmPwdHistory. В нашем случае файл dc1objmeta1.txt показывает версию 19, тогда как версия в файле dc1objmeta2.txt – 11. Таким образом, сравнивая эти два файла, мы видим, что DC2 содержит информацию о старом пароле для DC1. Операция Kerberos не удалась, потому что DC1 не смог расшифровать билет службы, представленный DC2.

KDC, запущенный на DC2, не может быть использован для Kerberos вместе с DC1, так как DC2 содержит информацию о старом пароле. Чтобы решить эту проблему, вы должны заставить DC2 использовать KDC на DC1, чтобы завершить репликацию. Для этого вам, в первую очередь, необходимо остановить службу KDC на DC2:

Net stop kdc

Теперь требуется начать репликацию корневого раздела Root:

Repadmin /replicate dc2 dc1 «dc=root,dc=contoso,dc=com»

Следующим вашим шагом будет запуск двух команд Repadmin /showobjmeta снова, чтобы убедиться в том, что версии совпадают. Если все хорошо, вы можете перезапустить службу KDC:

Net start kdc

Обнаружение и устранение ошибки AD Replication Error 1908

Теперь, когда мы устранили ошибку -2146893022, давайте перейдем к ошибке репликации AD 1908, где DC1, DC2 и TRDC1 так и не удалось выполнить репликацию из ChildDC1. Решить проблему можно следующим образом. Используйте Nltest.exe для создания файла Netlogon.log, чтобы выявить причину ошибки 1908. Прежде всего, включите расширенную регистрацию на DC1, запустив команду:

Nltest /dbflag:2080fff

Теперь, когда расширенная регистрация включена, запустите репликацию между DC – так все ошибки будут зарегистрированы. Этот шаг поможет запустить три команды для воспроизведения ошибок. Итак, во-первых, запустите следующую команду на DC1:

Repadmin /replicate dc1 childdc1 dc=child,dc=root,
dc=contoso,dc=com

Результат, показанный на экране 7, говорит о том, что репликация не состоялась, потому что DC домена не может быть найден.

Экран 7. Репликация не состоялась, потому что DC домена не может быть найден

Во-вторых, из DC1 попробуйте определить местоположение KDC в домене child.root.contoso.com с помощью команды:

Nltest /dsgetdc:child /kdc

Результаты на экране 7 свидетельствуют, что такого домена нет. В-третьих, поскольку вы не можете найти KDC, попытайтесь установить связь с любым DC в дочернем домене, используя команду:

Nltest /dsgetdc:child

В очередной раз результаты говорят о том, что нет такого домена, как показано на экране 7.

Теперь, когда вы воспроизвели все ошибки, просмотрите файл Netlogon.log, созданный в папке C:Windowsdebug. Откройте его в «Блокноте» и найдите запись, которая начинается с DSGetDcName function called. Обратите внимание, что записей с таким вызовом будет несколько. Вам нужно найти запись, имеющую те же параметры, что вы указали в команде Nltest (Dom:child и Flags:KDC). Запись, которую вы ищете, будет выглядеть так:

DSGetDcName function called: client PID=2176,
Dom:child Acct:(null) Flags:KDC

Вы должны просмотреть начальную запись, равно как и последующие, в этом потоке. В таблице 2 представлен пример потока 3372. Из этой таблицы следует, что поиск DNS записи KDC SRV в дочернем домене был неудачным. Ошибка 1355 указывает, что заданный домен либо не существует, либо к нему невозможно подключиться.

Поскольку вы пытаетесь подключиться к Child.root.contoso.com, следующий ваш шаг – выполнить для него команду ping из DC1. Скорее всего, вы получите сообщение о том, что хост не найден. Информация из файла Netlogon.log и ping-тест указывают на возможные проблемы в делегировании DNS. Свои подозрения вы можете проверить, сделав тест делегирования DNS. Для этого выполните следующую команду на DC1:

Dcdiag /test:dns /dnsdelegation > Dnstest.txt

На экране 8 показан пример файла Dnstest.txt. Как вы можете заметить, это проблема DNS. Считается, что IP-адрес 192.168.10.1 – адрес для DC1.

Экран 8. Пример файла Dnstest.txt

Чтобы устранить проблему DNS, сделайте следующее:

1. На DC1 откройте консоль управления DNS.

2. Разверните Forward Lookup Zones, разверните root.contoso.com и выберите child.

3. Щелкните правой кнопкой мыши (как в родительской папке) на записи Name Server и выберите пункт Properties.

4. Выберите lamedc1.child.contoso.com и нажмите кнопку Remove.

5. Выберите Add, чтобы можно было добавить дочерний домен сервера DNS в настройки делегирования.

6. В окне Server fully qualified domain name (FQDN) введите правильный сервер childdc1.child.root.contoso.com.

7. В окне IP Addresses of this NS record введите правильный IP-адрес 192.168.10.11.

8. Дважды нажмите кнопку OK.

9. Выберите Yes в диалоговом окне, где спрашивается, хотите ли вы удалить связующую запись (glue record) lamedc1.child.contoso.com [192.168.10.1]. Glue record – это запись DNS для полномочного сервера доменных имен для делегированной зоны.

10. Используйте Nltest.exe для проверки, что вы можете найти KDC в дочернем домене. Примените опцию /force, чтобы кэш Netlogon не использовался:

Nltest /dsgetdc:child /kdc /force

11. Протестируйте репликацию AD из ChildDC1 на DC1 и DC2. Это можно сделать двумя способами. Один из них – выполнить команду

Repadmin /replicate dc1 childdc1 «dc=child,dc=root,
dc=contoso,dc=com»

Другой подход заключается в использовании оснастки Active Directory Sites и Services консоли Microsoft Management Console (MMC), в этом случае правой кнопкой мыши щелкните DC и выберите Replicate Now, как показано на экране 9. Вам нужно это сделать для DC1, DC2 и TRDC1.

Экран 9. Использование оснастки Active Directory Sites и?Services

После этого вы увидите диалоговое окно, как показано на экране 10. Не учитывайте его, нажмите OK. Я вкратце расскажу об этой ошибке.

Экран 10. Ошибка при репликации

Когда все шаги выполнены, вернитесь к AD Replication Status Tool и обновите статус репликации на уровне леса. Ошибки 1908 больше быть не должно. Ошибка, которую вы видите, это ошибка 8606 (недостаточно атрибутов для создания объекта), как отмечалось на экране 10. Это следующая трудность, которую нужно преодолеть.

Устранение ошибки AD Replication Error 8606

Устаревший объект (lingering object) – это объект, который присутствует на DC, но был удален на одном или нескольких других DC. Ошибка репликации AD 8606 и ошибка 1988 в событиях Directory Service – хорошие индикаторы устаревших объектов. Важно учитывать, что можно успешно завершить репликацию AD и не регистрировать ошибку с DC, содержащего устаревшие объекты, поскольку репликация основана на изменениях. Если объекты не изменяются, то реплицировать их не нужно. По этой причине, выполняя очистку устаревших объектов, вы допускаете, что они есть у всех DC (а не только DCs logging errors).

Чтобы устранить проблему, в первую очередь убедитесь в наличии ошибки, выполнив следующую команду Repadmin на DC1:

Repadmin /replicate dc1 dc2 «dc=root,dc=contoso,dc=com»

Вы увидите сообщение об ошибке, как показано на экране 11. Кроме того, вы увидите событие с кодом в Event Viewer DC1 (см. экран 12). Обратите внимание, что событие с кодом 1988 только дает отчет о первом устаревшем объекте, который вам вдруг встретился. Обычно таких объектов много.

Экран 11. Ошибка из-за наличия устаревшего объекта

Экран 12. Событие с кодом 1988

Вы должны скопировать три пункта из информации об ошибке 1988 в событиях: идентификатор globally unique identifier (GUID) устаревшего объекта, сервер-источник (source DC), а также уникальное, или различающееся, имя раздела – distinguished name (DN). Эта информация позволит определить, какой DC имеет данный объект.

Прежде всего, используйте GUID объекта (в данном случае 5ca6ebca-d34c-4f60-b79c-e8bd5af127d8) в следующей команде Repadmin, которая отправляет результаты в файл Objects.txt:

Repadmin /showobjmeta * «e8bd5af127d8>» > Objects.txt

Если вы откроете файл Objects.txt, то увидите, что любой DC, который возвращает метаданные репликации для данного объекта, содержит один или более устаревших объектов. DC, не имеющие копии этого объекта, сообщают статус 8439 (уникальное имя distinguished name, указанное для этой операции репликации, недействительно).

Затем вам нужно, используя GUID объект Directory System Agent (DSA) DC1, идентифицировать все устаревшие объекты в разделе Root на DC2. DSA предоставляет доступ к физическому хранилищу информации каталога, находящейся на жестком диске. В AD DSA – часть процесса Local Security Authority. Для этого выполните команду:

Repadmin /showrepl DC1 > Showrepl.txt

В Showrepl.txt GUID объект DSA DC1 появляется вверху файла и выглядит следующим образом:

DSA object GUID: 70ff33ce-2f41-4bf4-b7ca-7fa71d4ca13e

Ориентируясь на эту информацию, вы можете применить следующую команду, чтобы удостовериться в существовании устаревших объектов на DC2, сравнив его копию раздела Root с разделом Root DC1.

Repadmin /removelingeringobjects DC2 70ff33ce-2f41-4bf4-
b7ca-7fa71d4ca13e «dc=root,dc=contoso,dc=com»
/Advisory_mode

Далее вы можете просмотреть журнал регистрации событий Directory Service на DC2, чтобы узнать, есть ли еще какие-нибудь устаревшие объекты. Если да, то о каждом будет сообщаться в записи события 1946. Общее число устаревших объектов для проверенного раздела будет отмечено в записи события 1942.

Вы можете удалить устаревшие объекты несколькими способами. Предпочтительно использовать ReplDiag.exe. В качестве альтернативы вы можете выбрать RepAdmin.exe.

Используем ReplDiag.exe. С вашей рабочей станции администратора в корневом домене леса, а в нашем случае это Win8Client, вы должны выполнить следующие команды:

Repldiag /removelingeringobjects
Repadmin /replicate dc1 dc2 «dc=root,dc=contoso,dc=com»

Первая команда удаляет объекты. Вторая команда служит для проверки успешного завершения репликации (иными словами, ошибка 8606 больше не регистрируется). Возвращая команды Repadmin /showobjmeta, вы можете убедиться в том, что объект был удален из всех, что объект был удален DC. Если у вас есть контроллер только для чтения read-only domain controller (RODC) и он содержал данный устаревший объект, вы заметите, что он все еще там находится. Дело в том, что текущая версия ReplDiag.exe не удаляет объекты из RODC. Для очистки RODC (в нашем случае, ChildDC2) выполните команду:

Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 70ff33ce-2f41-4bf4-b7ca-7fa71d4ca13e
«dc=root,dc=contoso,dc=com» /Advisory_mode

После этого просмотрите журнал событий Directory Service на ChildDC2 и найдите событие с кодом 1939. На экране 13 вы видите уведомление о том, что устаревшие объекты были удалены.

Экран 13. Сообщение об удалении устаревших объектов

Используем RepAdmin.exe. Другой способ, позволяющий удалить устаревшие объекты – прибегнуть к помощи RepAdmin.exe. Сначала вы должны удалить устаревшие объекты главных контроллеров домена (reference DC) с помощью кода, который видите в листинге 1. После этого необходимо удалить устаревшие объекты из всех остальных контроллеров домена (устаревшие объекты могут быть показаны или на них могут обнаружиться ссылки на нескольких контроллерах домена, поэтому убедитесь, что вы удалили их все). Необходимые для этой цели команды приведены в листинге 2.

Как видите, использовать ReplDiag.exe гораздо проще, чем RepAdmin.exe, поскольку вводить команд вам придется намного меньше. Ведь чем больше команд, тем больше шансов сделать опечатку, пропустить команду или допустить ошибку в командной строке.

Устранение ошибки AD Replication Error 8453

Предыдущие ошибки репликации AD были связаны с невозможностью найти другие контроллеры домена. Ошибка репликации AD с кодом состояния 8453 возникает, когда контроллер домена видит другие DC, но не может установить с ними связи репликации.

Например, предположим, что ChildDC2 (RODC) в дочернем домене не уведомляет о себе как о сервере глобального каталога – Global Catalog (GC). Для получения статуса ChildDC2 запустите следующие команды на ChildDC2:

Repadmin /showrepl childdc2 > Repl.txt

Данная команда отправляет результаты Repl.txt. Если вы откроете этот текстовый файл, то увидите вверху следующее:

BoulderChildDC2
DSA Options: IS_GC DISABLE_OUTBOUND_REPL IS_RODC
WARNING: Not advertising as a global catalog

Если вы внимательно посмотрите на раздел Inbound Neighbors, то увидите, что раздел DC=treeroot,DC=fabrikam,DC=com отсутствует, потому что он не реплицируется. Взгляните на кнопку файла – вы увидите ошибку:

Source: BoulderTRDC1
******* 1 CONSECTUTIVE FAILURES since 2014-01-12 11:24:30
Last error: 8453 (0x2105):
Replication access was denied
Naming Context: DC=treeroot,DC=fabrikam,DC=com

Эта ошибка означает, что ChildDC2 не может добавить связь репликации (replication link) для раздела Treeroot. Как показано на экране 14, данная ошибка также записывается в журнал регистрации событий Directory Services на ChildDC2 как событие с кодом 1926.

Экран 14. Отсутствие связи репликации

Здесь вам нужно проверить, нет ли проблем, связанных с безопасностью. Для этого используйте DCDiag.exe:

Dcdiag /test:checksecurityerror

На экране 15 показан фрагмент вывода DCDiag.exe.

Экран 15. Фрагмент вывода DCDiag.exe

Как видите, вы получаете ошибку 8453, потому что группа безопасности Enterprise Read-Only Domain Controllers не имеет разрешения Replicating Directory Changes.

Чтобы решить проблему, вам нужно добавить отсутствующую запись контроля доступа – missing access control entry (ACE) в раздел Treeroot. В этом вам помогут следующие шаги:

1. На TRDC1 откройте оснастку ADSI Edit.

2. Правой кнопкой мыши щелкните DC=treeroot,DC=fabrikam,DC=com и выберите Properties.

3. Выберите вкладку Security.

4. Посмотрите разрешения на этот раздел. Отметьте, что нет записей для группы безопасности Enterprise Read-Only Domain Controllers.

5. Нажмите Add.

6. В окне Enter the object names to select наберите ROOTEnterprise Read-Only Domain Controllers.

7. Нажмите кнопку Check Names, затем выберите OK, если указатель объектов (object picker) разрешает имя.

8. В диалоговом окне Permissions для Enterprise Read-Only Domain Controllers снимите флажки Allow для следующих разрешений

*Read

*Read domain password & lockout policies («Чтение политики блокировки и пароля домена»)

*Read Other domain parameters

9. Выберите флажок Allow для разрешения Replicating Directory Changes, как показано на экране 16. Нажмите OK.

10. Вручную запустите Knowledge Consistency Checker (KCC), чтобы немедленно сделать перерасчет топологии входящей репликации на ChildDC2, выполнив команду

Repadmin /kcc childdc2

Экран 16. Включение разрешения Replicating Directory Change

Данная команда заставляет KCC на каждом целевом сервере DC незамедлительно делать перерасчет топологии входящей репликации, добавляя снова раздел Treeroot.

Состояние репликации критически важно

Репликация во всех отношениях в лесу AD имеет решающее значение. Следует регулярно проводить ее диагностику, чтобы изменения были видны всем контроллерам домена, иначе могут возникать различные проблемы, в том числе связанные с аутентификацией. Проблемы репликации нельзя обнаружить сразу. Поэтому если вы пренебрегаете мониторингом репликации (в крайнем случае, периодически делайте проверку), то рискуете столкнуться с трудностями в самый неподходящий момент. Моей задачей было показать вам, как проверять статус репликации, обнаруживать ошибки и в то же время как справиться с четырьмя типичными проблемами репликации AD.

REM Команды для удаления устаревших объектов
REM из раздела Configuration.
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 70ff33ce-2f41-4bf4-b7ca-7fa71d4ca13e
«cn=configuration,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 3fe45b7f-e6b1-42b1-bcf4-2561c38cc3a6
«cn=configuration,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«cn=configuration,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела ForestDNSZones.
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 70ff33ce-2f41-4bf4-b7ca-7fa71d4ca13e
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 3fe45b7f-e6b1-42b1-bcf4-2561c38cc3a6
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc1.child.
root.contoso.com 0b457f73-96a4-429b-ba81-
1a3e0f51c848 «dc=forestdnszones,dc=root,
dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела домена Root.
Repadmin /removelingeringobjects dc1.root.
contoso.com 3fe45b7f-e6b1-42b1-bcf4-2561c38cc3a6
«dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела DomainDNSZones.
Repadmin /removelingeringobjects dc1.root.
contoso.com 3fe45b7f-e6b1-42b1-bcf4-2561c38cc3a6
«dc=root,dc=contoso,dc=com»

REM Команды для удаления устаревших объектов
REM из раздела Configuration.
Repadmin /removelingeringobjects dc1.root.
contoso.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«cn=configuration,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects dc2.root.
contoso.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«cn=configuration,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«cn=configuration,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects trdc1.treeroot.
fabrikam.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«cn=configuration,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела ForestDNSZones.
Repadmin /removelingeringobjects dc1.root.contoso.
com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects dc2.root.contoso.
com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects trdc1.treeroot.
fabrikam.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=forestdnszones,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела DomainDNSZones–Root.
Repadmin /removelingeringobjects dc2.child.root.
contoso.com 70ff33ce-2f41-4bf4-b7ca-7fa71d4ca13e
«dc=domaindnszones,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела домена Child.
Repadmin /removelingeringobjects dc1.root.contoso.
com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=child,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects dc2.root.contoso.
com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=child,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=child,dc=root,dc=contoso,dc=com»
Repadmin /removelingeringobjects trdc1.treeroot.
fabrikam.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=child,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела DomainDNSZones-Child.
Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 0c559ee4-0adc-42a7-8668-e34480f9e604
«dc=domaindnszones,dc=child,dc=root,dc=contoso,dc=com»
REM Команды для удаления устаревших объектов
REM из раздела домена TreeRoot.
Repadmin /removelingeringobjects childdc1.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=treeroot,dc=fabrikam,dc=com»
Repadmin /removelingeringobjects childdc2.child.root.
contoso.com 0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=treeroot,dc=fabrikam,dc=com»
Repadmin /removelingeringobjects dc1.root.contoso.com
0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=treeroot,dc=fabrikam,dc=com»
Repadmin /removelingeringobjects dc2.root.contoso.com
0b457f73-96a4-429b-ba81-1a3e0f51c848
«dc=treeroot,dc=fabrikam,dc=com»