iT邦幫忙

0

電腦無法加入網域 出現"登入失敗:目標帳戶名稱不正確。"錯誤視窗

這問題有點急 卡了很久
說明一下架構, 網域內共兩台DC, 運作一直正常,
最近要加入網域就出現這問題,
爬文看多是SID重覆的問題, 結果我用另一台電腦也一樣,
用了NewSID軟體產生新SID也一樣, 所以排除是SID問題,
還有個奇怪的點就是,
我觀察了一下client都是去找副DC驗證身份, 我就想把驗證權拉回主DC
但我把副DC關掉以後, client就不去找主DC, 而顯示"找不到網域控制站"

備註:
1.主DC的NTDS setting 通用類別目錄有打開
2.RID、PDC、基礎結構主機設定為主DC
3.SRV record 原本權值都為10,
我把主DC權值設為0 不過依然沒改變client去找副DC的結果...

總結兩個問題:
1.解決無法加入網域問題
2.可以拉回主DC驗證控制權

有大大可以協助我釐清這問題嗎,說實在設定了這麼多也不知到哪些是關鍵..
20點奉上

2 個回答

2
znppbsb1
iT邦新手 5 級 ‧ 2014-04-07 16:52:59
最佳解答

1.Client端的DNS是否有指向兩台DC
2.移轉PDC可參考http://support.microsoft.com/kb/324801/zh-tw

看更多先前的回應...收起先前的回應...
imcbdcbd iT邦新手 5 級 ‧ 2014-04-07 17:08:07 檢舉

Z大您好
1.Client的DNS指向主DC,但登入驗證卻在副DC.
2.五大FSMO均設定為主DC這台,我有嘗試過轉移到副DC再轉回來看看,但沒成功

znppbsb1 iT邦新手 5 級 ‧ 2014-04-07 17:15:04 檢舉

兩台AD網段是否相同呢?

imcbdcbd iT邦新手 5 級 ‧ 2014-04-07 17:24:03 檢舉

相同

imcbdcbd iT邦新手 5 級 ‧ 2014-04-07 17:32:56 檢舉

提供FSMO轉移失敗的過程(其實這是我想問的第三個問題,但先能加入網域比較重要ㄒ^ㄒ)

S1:在主DC開啟Active Directory 使用者和電腦嵌入式管理單元
S2:連線到副DC
S3:點網域右鍵 > 操作主機 , 就會看到三個tab, 分別是RID、PDC、基礎結構
操作主機內容是現在的主DC, 表示設定正確, 按下變更後應會換成副DC
但卻出現錯誤訊息:
無法執行操作主機轉移,因為:要求的FSMO操作失敗,無法連接目前的FSMO持有人。

znppbsb1 iT邦新手 5 級 ‧ 2014-04-07 17:43:47 檢舉

imcbdcbd提到:
而顯示"找不到網域控制站"

詳細資料中有列出兩台AD的FQDN嗎

imcbdcbd iT邦新手 5 級 ‧ 2014-04-07 18:20:53 檢舉


以下為顯示訊息:
查詢服務位置 (SRV) 資源記錄用來尋找網域 fxxxxxxn.com.tw
網域控制站的 DNS 的操作已成功

這是 _ldap._tcp.dc._msdcs.formosan.com.tw 的 SRV 記錄查詢

查詢已識別出下列網域控制站:
fxxxxx2.formosan.com.tw <<<副DC
fxxxc.formosan.com.tw <<<主DC

10
raytracy
iT邦大神 1 級 ‧ 2014-04-07 17:55:09

你的兩台DC恐怕已經失去聯繫了...請分別在兩台DC上, 用以下指令檢查:

&lt;pre class="c" name="code">dcdiag
repadmin /showrepl /all

正常狀況, 這兩個指令不應該出現任何錯誤, 如果有錯誤, 請逐一將每個問題修正, 兩台DC才能恢復正常. 最壞狀況下, 您可能要犧牲一台DC, 強制demote, 然後把 FSMO 全部移轉到正常的那台 DC, 在重新將另外一提 promote 上來.

您可以用這個指令查看, 目前哪一台DC的資料是比較新的:

&lt;pre class="c" name="code">repadmin /showobjmeta &lt;DC name> &lt;Name Context>

其中:
<DC name> 請用您的DC 電腦名稱取代, 兩台DC都要測
<Name Context> 請代換成您的網域 LDAP 表示法, 例如您的AD網域是: abc.local, 則請帶入: dc=abc,dc=local

舉例:

&lt;pre class="c" name="code">repadmin /showobjmeta DC1 dc=abc,dc=local
repadmin /showobjmeta DC2 dc=abc,dc=local
看更多先前的回應...收起先前的回應...

iT邦幫忙MVPraytracy提到:
兩台DC恐怕已經失去聯繫

+1

我常先用這個指令:FSMO角色檢查:netdom query fsmo

imcbdcbd iT邦新手 5 級 ‧ 2014-04-07 19:26:07 檢舉

回應RAY大
錯誤1:
Testing server: Default-First-Site-Name\主DC名
Starting test: Replications
REPLICATION LATENCY WARNING
ERROR: Expected notification link is missing.
Source 副DC名
Replication of new changes along this path will be delayed.
This problem should self-correct on the next periodic sync.
錯誤2:
Starting test: frsevent
There are warning or error events within the last 24 hours after the
SYSVOL has been shared. Failing SYSVOL replication problems may cause Group Policy problems.
錯誤3:
Starting test: systemlog
An Error Event occured. EventID: 0x00000457
Time Generated: 04/07/2014 18:43:23
下略...都是同一個EventID

以上是dcdiag後全部有錯誤的部分
看起來複寫真的有問題
有沒有建議的排除步驟呢?

imcbdcbd iT邦新手 5 級 ‧ 2014-04-08 09:23:30 檢舉

想請問
有沒有可以讓Clients 只去找主DC驗證身份,不要透過副DC
我想測測看主DC是不是好的,
請問要到哪設定呢?

raytracy iT邦大神 1 級 ‧ 2014-04-08 10:40:12 檢舉

imcbdcbd提到:
有沒有可以讓Clients 只去找主DC驗證身份,不要透過副DC
我想測測看主DC是不是好的,

這個簡單, 把第二台關機就好了...如果不能關, 把下面幾個服務停掉:
AD DS
NetLogon
DNS Server
但這些關掉, 他自己上面的AP也會不正常, 所以其實跟關機沒兩樣...

EventID: 0x00000457 比較像是Printer驅動程式的問題, 通常發生在 RDP 登入之後, 你查一下事件檢視看, 看看是否真的這樣? 若是的話可以忽略. 否則就要查事件檢視器, 看詳細的原因.

此外, 請特別去這兩台檢查事件檢視器的 FRS 相關事件, 從裡面找相關的事件, 會有詳細說明. dcdiag 只能提供查修方向, 沒有詳細內容.

imcbdcbd iT邦新手 5 級 ‧ 2014-04-08 11:28:05 檢舉

RAY大您好
這我之前有試過

imcbdcbd提到:
我觀察了一下client都是去找副DC驗證身份, 我就想把驗證權拉回主DC
但我把副DC關掉以後, client就不去找主DC, 而顯示"找不到網域控制站"

所以不確定是Client這邊是不是有 某種SRV的紀錄 告訴電腦要去副DC這
或是主DC失去驗證身份的能力了

imcbdcbd iT邦新手 5 級 ‧ 2014-04-08 18:12:33 檢舉

Dear All
無法登網域的問題解決了,
I Reset DC machine password through this cmd:
netdom resetpwd /s:peerdc /ud:domain\user /pd:*
但其實還是一知半解
這個DC password是網域控制站管理員密碼?
還是replication所用到的帳號'密碼'?
為什麼我重設以後,就不會跳"登入失敗:目標帳戶名稱不正確。"錯誤了?
稍後我再來研究怎麼重設replication 如果有推薦的教學網站可以貼一下 感謝

http://community.spiceworks.com/topic/237510-domain-controller-logon-failure-the-target-account-name-is-incorrect

imcbdcbd iT邦新手 5 級 ‧ 2014-04-08 18:17:56 檢舉

不小心選錯最佳解 是要給Ray大,... 洽詢客服中

raytracy iT邦大神 1 級 ‧ 2014-04-09 17:39:00 檢舉

這代表, 你的那台 DC 跟整個 AD 失聯太久, 超過30天了.

AD 裡面的每一台電腦, 都會有一個內藏的密碼, 用來跟 DC 通訊用的, 這個密碼你不能指定, 系統會在join domain的時候自己產生一組亂碼, 但每 30 天會自動同步更換一次 (電腦跟DC兩邊要同時換).

所以如果您的電腦超過30天沒跟DC正常連線的話, DC換了密碼, 電腦卻不知道, 兩邊就從此失聯了.

raytracy iT邦大神 1 級 ‧ 2014-04-09 17:40:03 檢舉

別在意最佳解答...答案還是你自己找到的哩...拍手

小弟也遇到類似的問題,感恩因imcbdcbd的拋磚引玉而解決了,也謝謝樓上各位先進,感恩。

我要發表回答

立即登入回答