Lỗi nhận diện Domain của Clients

[rabbitvn]

Nhà các bạn giúp đỡ gấp.
Mạng của mình gồm 2 server PDC và BDC. Bắt đầu từ hôm qua có hiện tượng các client không nhận diện được domain, các ổ đĩa mạng không thể truy nhập, khi kích mở các máy khác và cả domain controller sẽ bị hỏi password và username, giống như hiện tượng các client chưa join vào domain. Do việc in của mình theo dạng share máy in nên muốn in thì phải nháy đúp mở máy chứa máy in ra trước bằng cách nháy đúp vào máy tính đó, cung cấp username và pass của máy đó sau đó mới in được.
Khi mở được server thông thường là chứa trong tên nhóm nhưng hôm nay sẽ có tên nhóm là unknown. Một số máy thì vẫn join được vào domain.
Một điều đáng lưu tâm là DNS qua nay có lúc bị stop và trong services:
name: DNS Server
status: stopped - thông thường phải là started
startup type: manual - thông thường cái này phải là Automatic

Ngoài ra trong Event viewer

Directory service có cảnh báo 1265:

The attempt to establish a replication link with parameters

Partition: CN=Schema,CN=Configuration,DC=songhong,DC=com,DC=v n
Source DSA DN: CN=NTDS Settings,CN=SH02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=songhong,DC=com, DC=vn
Source DSA Address: d05069cd-79cf-4c88-923a-a29604b6e4eb._msdcs.songhong.com.vn
Inter-site Transport (if any):

failed with the following status:

The DSA operation is unable to proceed because of a DNS lookup failure.

The record data is the status code. This operation will be retrie

Trong khi đó CN=SH02, Domain controller : SH02 là không tồn tại, cách đây một tháng có cài 1 BDC là SH02, nhưng sau đó mình đã rút ra khỏi domain mà ko demote nó. Hiện nay chỉ tồn tại SH01 và SH00.
Trong AD, mục Domain Controller có SH00, SH01, SH02 nhưng thực tế bây giờ chỉ tồn tại SH00 và SH01.

Mình đã thử remove SH02 ra khỏi group Domain controller nhưng ko được.

Nhờ các bác giúp đỡ gấp

[nhaque321]

Hi,

Theo thông tin bạn mô tả, rất có thể hệ thống của bạn bị lỗi do DNS. Đó là vì Active Directory của Windows tích hợp rất chặt chẽ vào DNS.

Bạn thử start lại dịch vụ DNS xem sao?

[sbvonline1982]

woai co gi kho chu, cai lai deeeeeeeee

[H2SO4]

Bạn nên làm một số việc sau để kiểm tra:
+)Chạy netdiag và dcdiag trên các máy chủ DC mà bạn đang có để xem các lỗi thông báo là gì ? Nghe qua thì chắc là DNS có lỗi rồi. Hai tools này có trong Windows Support Tools
+)Máy chủ SH02 mà không bỏ ra khỏi hệ thống thì có thể các máy trạm sẽ cứ truy vấn đến nó và mình cũng không rõ máy chủ này có vai trò gì trong FSMO Roles. Bạn kiểm tra lại xem bằng ntdsutil xem các roles cụ thể của máy chủ SH02 mà bạn đã gán đồng thời cũng remove máy chủ này ra khỏi databasse của AD bằng tools này.
Good luck

[vnclick]

woai co gi kho chu, cai lai deeeeeeeee

Có khùng không thế ma tự dưng cài lại chứ, hết trò rồi à mà khuyên chủ chuối như vậy.

[camaptrang]

H2SO4 nói hoàn toàn chính xác , các bạn làm theo như vậy, nếu có problem nào thì Ola anh em support cho.
Lúc trước DNS tớ error rất nặng và sau 3H repair giờ thì good như "vừa mới cài hôm qua "

[rabbitvn]

Em co loi cam on chan thanh den cac bac

Chac sbvonline1982 chưa làm quản trị mạng chuyên nghiệp bao giờ. Nó có đơn giản như cái mạng của quán chat đâu.

Em đã remove được SH02 ra khỏi được AD Sites and Services -> Default-First-Sites-Names, Domain controllers. Trong Event Viewer -> Directory Service cũng không báo lỗi NTDS KCC (Event id:1265) nữa. Chỉ còn báo lỗi NTDS Replication( Event id:1586)

Hệ thống có phần ổn định hơn sau khi em chuyển Operation Masters( FSMO role holders) từ SH00 -> SH01. Tuy nhiên trong 5 FSMO roles duy nhất thì mới chỉ chuyển được có 2 là PDC và Infrastructure, còn RID khi chuyển thì báo lỗi, Schema Master, Domain naming master thì chưa chuyển được.

Các client đã hoạt động bình thường, tuy nhiên với PDC cũ là SH00, nếu gõ \\sh00 thì vẫn báo lỗi "Logon failure: the target account name is incorrect", nhưng nếu gõ địa chỉ \\ip address thì lại vào được

Sau khi chạy một số tool như hướng dẫn của anh H2SO4 thì em nhận thấy có một số lỗi sau, nhờ anh tư vấn giúp thêm cho, anh lưu ý giúp là có thể một số lỗi phát sinh sau khi em chuyển Operation Master từ PDC cũ là SH00 sang SH01, Có nghĩa là đến lúc này thì PDC, Infrastructure là SH01:

1. Ket qua khi chay netdiag

Global results:
Domain membership test……….: Failed
[WARNING] Ths system volume has not been completely replicated to the local machine. This machine is not working properly as a DC

DNS test ……………………….: Passed
[WARNING] The DNS Resolver Cache service is not running. [ERROR_SERVICE_NEVER_STARTED]
Trust relationship test…………………: Passed
Secure channel for domain ‘SONGHONG’ is to ‘\sh01.songhong.com.vn’. Cannot test secure channel to PDC emulator since you are not an administrator

2. Ket qua khi chay dcdiag.exe
Starting test: Advertising
Warning: DsGetDcName returned information for \\sh01.songhong.com.vn when we were trying to reach SH00.
Server is not responding or is not considered suitable.
Warning: SH00 is not advertising as a global catalog.
Check that server finished GC promotion
Check the event log on server that enough source replicas for the GC are available.
………………………………. SH00 failed test Advertising

Starting test: Services
Dnscache Service is stopped on [SH00]
………………………… SH00 failed test Services

Starting test: frssysvol
Error: No record of File Replication System, SYSVOL started.
The Active Directory may be prevented from starting.
There errors after the SYSVOL has been shared.
The SYSVOL can prevent the AD from starting

Quá trình Replication giữa SH00 và SH01 thường là không thành công, em không hiểu sao nữa, lúc đầu thì quá trình replication giữa chúng là rất tốt.
Quá trình File Replication service giữa SH00 và SH01 cũng luôn có vấn đề, hay có cảnh báo id: 13508 và 13565.

Mong các bác giúp đỡ.

[H2SO4]

Hi rabbitvn,
Bạn đã remove SH02 như thế nào ? Phải chuột vào DC đó trong AD Sites and Services -> Default-First-Sites-Names, Domain controllers và Delete chăng ? Nếu thế thì không ổn đâu. Phải sử dụng ntdsutil, cách sử dụng ntn thì chắc là bạn phải đọc thêm.
Bạn chuyển Operation Masters( FSMO role holders) từ SH00 -> SH01 ntn ? Cả 5 FSMO roles này đều có thể transfer (nếu không được thì phải seize) sang một máy chủ DC nào đó bằng ntdsutil.
Không biết DNS của bạn hoạt động thế nào mà không lấy được tên máy chủ sh00. Bạn thử sử dụng tên đầy đủ sh00.songhong.com.vn và kiểm tra DNS bằng nslookup. Xem dịch vụ DNS Client có chạy hay không ?
Bạn phải gán vai trò global catalog cho một máy chủ, thực hiện điều này trong AD Sites and Services -> Default-First-Sites-Names, Domain controllers, NTDS Setting

[rabbitvn]

Cách remove SH02 em đã làm như cách anh nói!!! Đã chót làm rồi biết làm sao được, tuy nhiên cũng ko thấy có vấn đề gì! Chỉ có điều là cái SH02 tuy nó tồn tại trong Domain controller nhung em đã down nó cả tháng nay, em nghĩ là lỗi chính ko thuộc về nó, chỉ có điều AD bị lỗi ở phần khác.
Em chuyển Operation Masters bằng cách chuột phải lên AD User and Computer chọn Operations Master -> và có các chức năng change RID, PDC, Infrastructure.
Hôm nay em đã chuyển một số roles từ SH00 sang SH01 bằng NTDSUtil.exe nhưng không được toàn báo lỗi, có lẽ phải seize nhưng xem qua thì
Seize RID master - Overwrite RID role on connected server
Seize PDC master - Overwrite PDC role on connected server
......
Cái ý nghĩa Seize em không hiểu lắm.
Trong AD Sites and Services em cũng đã chuyển Global catalog từ SH00 sang SH01, nhưng còn các chức năng RID, Domain naming master, Schema master thì chưa chuyển được, chuyển bằng transfer ... trong ntdsutil.exe toàn báo lỗi.
DNS của em khi cài SH01 thành BDC cách đây một tháng thì nó vẫn replication bình thường, nhưng ko hiểu sao đến nay File Replication Services giữa 2 DC có lỗi warning event id:13508.
Kể cả truy nhập từ SH01 bằng tên đầy đủ \\sh00.songhong.com.vn cũng không được.
Khi mới xảy ra lỗi, khi chưa thực hiện việc chuyển PDC từ sh00 sang SH01 gõ lệnh NSLOOKUP từ client thì vẫn nhận ra
Defaul server : sh00.songhong.com.vn
Address: 10.10.0.1
và gõ songhong.com.vn vẫn nhận ra
Server: sh00.songhong.com.vn
Address:10.10.0.1

Name: songhong.com.vn
Address:221.132.4.225...... một số đc wanip của ADSL và 10.10.0.1, 10.10.0.3.

Theo em hiểu thì client vẫn nhận ra DNS chỉ có điều là có lỗi gì đó trong AD, hoạc Group policy, nhưng em ko hề thay đổi gì trong policy cả.

Nhờ anh cái SEIZE và có cách nào khắc phục SH00
và tại sao khi SH00 còn là Global Catalog nó lại không hoạt động, anh xem một số lỗi em đã gửi ở bài trước và Dnscache service is stop thì có ảnh hưởng gì ko?

[H2SO4]

Hình như trong DNS của bạn có nhận một số địa chỉ WAN của ADSL và trong quá trình giải nghĩa tên của máy chủ sh00 nó sử dụng địa chỉ WAN để kết nối đến, có lẽ vì thế kết quả trong dcdiag mới đưa ra như trên.
Bạn phải remove địa chỉ WAN ADSL trong DNS đi và cấm không cho ADSL Connection có quyền register địa chỉ của nó vào DNS chứ.
Seize là một cách gán roles cho máy chủ một cách cưỡng ép. Khi chuyển các roles từ máy chủ A -> B, nếu sử dụng transfer thì A phải còn đang hoạt động, A đã bị down rồi thì phải dùng seize. Trong ntdsutil bạn muốn seize các role đến máy chủ nào thì trước hết phải connect đến máy chủ đó đã.

[rabbitvn]

Vâng trong DNS của em có một số WAN IP của ADSL nhưng cái này em đã bỏ rồi, em bỏ trong SH00 nhưng lại quên bỏ trong SH01(chuột phải lên DNS->Properties->chọn tab interface ->Only the following IP Addresses).
Từ ngày SH00 (PDC ) bị down, từ sh01 gõ ntdsutil -> connect to server sh00 ,khong connect đến sh00 được, có nghĩa là từ mọi host nếu connect bằng \\ip address thì được, còn \\sh00 thì sẽ ko được.
Từ đó đến nay các thư mục share như SYSVOL, NETLOGON cũng bị mất share và em nhận thấy xuất hiện một thưc mục trước policies và scripts trong sysvol:
- Thông thường là:
%system root%\Sysvol\domain\policies và scripts
%system root%\sysvol\sysvol\domain.com.vn\policies và scripts
- Thì nay sẽ là:
%system root%\Sysvol\domain\NtFrs_PreExisting__See_EventLo g\policies và scripts
%system root%\sysvol\sysvol\domain.com.vn\NtFrs_PreExistin g__See_EventLog\policies và scripts

Test bằng Dcdiag có dòng đáng chú ý sau:

Starting test: frssysvol
Error: No record of File Replication System, SYSVOL started
The Active Directory may be prevented from starting.
There are errors after the SYSVOL has been shared.
The SYSVOL can prevent the AD from starting.

Cũng biết lỗi đó nhưng ko biết cách nào để sửa chúng. Bác có cao kiến nào để sửa cái lỗi đó ko, chẳng hạn bằng bộ Support tools

[H2SO4]

Thứ nhất, cách bạn làm đối với DNS chỉ là cấu hình máy chủ DNS phục vụ các truy vấn DNS bằng địa chỉ IP đó thôi, như thế chưa làm được điều ta mong muốn là không có các bản ghi DNS của các địa chỉ IP của WAN. Bạn phải xóa hết các bản ghi DNS của ADSL IP, sửa ADSL Netwwork connection properties để không cho phép cập nhật động IP này lên máy chủ DNS. Như thế nếu các client hỏi về tên sh00, nó sẽ không trả về địa chỉ IP của WAN nữa.

Việc xuất hiện thư mục NtFrs_PreExisting__See_EventLog là do nó không tìm thấy replication partner của nó, nên nó lưu tạm vào thư mục này. Bạn thử xem qua sau khi DNS sửa xong thì có kết quả khả thi hơn không.

Tình hình hỏng nặng quá thì phải restore từ bản Backup nào đó thôi :(

[rabbitvn]

Tình hình như hiện nay thì theo em là con DC SH00 này đã bị down, vì hiện nay nếu truy nhập bằng tên thì tất cả các máy đều không thể, ko kết nối, ko tự share được các thư mục như Netlogon, SYSVOL, quá trình File Replication service cũng ko thành công. Em đã transfer được 2 roles là: PDC, Infrastructure, còn lại phải seize 3 roles: RID, Domain naming master, Schema master,
Xem trong ntdsutil thì bây giờ SH01 có 5 roles trong đó 2 roles transfer và 3 roles phải seize.
Vậy liệu SH01 bây giờ đã nắm được hết các roles cần thiết của domain, forest chưa?
Nếu được thì em muốn demote thử SH00 xem thế nào và muốn làm lại con SH00 này.
Anh có thể cho xin số đt hoặc nick yahoo chat để tiện liên hệ được ko?

[camaptrang]

Hè hè ... nói thật nhá chuyện này không phải như cài cái ISA hay cài cái email đâu RABIT àh, khi bạn thàng công với việc fix cái vụ này thì bạn cũng đã trang bị cho mình nhiều rồi đó, bởi vì khi DNS or DC server nó không problem thôi mà bị rồi thì rị mọ cả tháng đó ... chúc bạn thành công ... mình không nhớ kỹ từng bước đã thực hiện nhưng cũng vất vã ...
Sau sự cố này bạn nên tính đến các giải pháp backup : DC, System, và phương án Mirro ... nói chung tớ cũng từng bị khùng nhiều với mấy vụ án này nên backup là phương án chọn lựa hiện nay.

[rabbitvn]

Không thấy bác H2SO4 giúp đỡ gì thêm sao?