iT邦幫忙

0

無法加入AD網域

我的狀況如下:
主系統:server 2016
VM1:dhcp server
VM2:dns server
VM3:windows 10
network 皆是host only,所有系統都在同網段
win10:DHCP IP , DNS 透過VM2 指向win server


win10在設定加入網域時,出現此訊息

注意事項: 這個專業資訊是提供給網路系統管理員。如果您不是網路系統管理員,請將這個資訊告訴您的網路系統管理員。這個資訊已經記錄在檔案 C:\Windows\debug\dcdiag.txt 中。

在查詢 DNS 以取得用來尋找網域 "mingda.net" 之 Active Directory 網域控制站 (AD DC) 的服務位置 (SRV) 資源記錄時,發生下列錯誤:

錯誤是: "DNS 名稱不存在。"
(錯誤碼 0x0000232B RCODE_NAME_ERROR)

這是 _ldap._tcp.dc._msdcs.mingda.net 的 SRV 記錄查詢

發生這個錯誤的常見原因包含:

尋找網域的 AD 網域控制站時所需要的 DNS SRV 記錄並未登錄在 DNS 中。當 AD 網域控制站新增到網域時,這些記錄會自動登錄在 DNS 伺服器。AD 網域控制站會在固定的時間間隔更新它們。這部電腦已經設定成使用具有下列 IP 位址的 DNS 伺服器:

192.168.1.253

..........................

看更多先前的討論...收起先前的討論...
要加入 ad,用戶端要指定有 ad srv 紀錄的 dns,用戶端要能找到該dns
至於 dhcp 要能配發ip 給 ad 用戶端,還要把 dhcp 先加入網域然後用在 dhcp管理員那加入ad允許清單內
另外 host only 是打算跟host 使用不同的網卡嘛,host only 每一台 vm 都要有實際的nic 才行
你不能三台都指定同一張網卡,如果你要共用網卡,又要跟 host 同網段,那麼你要用的是 bradge 模式
不跟 HOST 同網段可以用 NAT 模式或是 獨立網路模式
zxc512034 iT邦新手 5 級 ‧ 2018-10-22 13:52:49 檢舉
抱歉,沒說清楚狀況
dns server 我設定了兩張虛擬網卡,host only和bridge
其他系統皆不對外,對外連線都轉給"dns server" 這台
由這台VM連結所有系統及對外連線;
我的win10已指向server也可以ping通網域及各個系統
據我這了解的情況,dhcp server 好像不需要加入AD
win10就可以直接加入AD網域,只是不知道出了什麼錯
dhcp server 不加入AD 他不能對 AD 的服務作動態更新,例如 DNS
例如你某台用戶端 DHCP 給他 111 的IP,這台用戶端也跟 DNS 說他是 111
可是某天 DHCP IP 到期,改成 222,因為沒動態更新,所以DNS 還是 111
除非用戶端用指令 RENEW 一次,不然 DNS 哪裡是不會自動更新的
接著 用戶端要加入網域,指定的DNS 必須是 網域的 DNS,上面會有 SRV 紀錄
對內的 DNS 上面的紀錄不能有 公眾IP,對外的 DNS 不能有 私人IP
不然會有很奇怪的問題,DNS 服務 內外要分開,AD 服務沒要給別人查,你對外的DNS 就不需要 SRV 紀錄了
簡單說,你的DNS 內部是 192.168.1.88 對外是 60.123.123.88 ( 1固 I )
你的域名是 A.CC,那你的DC 假設內部IP是 99 好了,你對內的 DNS 上面的紀錄 DC 的IP只能是 192.168.1.99 不能再給他另外一個紀錄是 60.123.123.88
同樣的對外的DNS 上面如果DC真的要對外,那他的紀錄必須是 60.123.123.88 不能再多另外一筆是 192.168.1.99

1 個回答

4
raytracy
iT邦大神 1 級 ‧ 2018-10-22 19:25:57
最佳解答

你的 FSMO Role 是哪一台? 或哪幾台?
你的 DNS 資料有隨著 NTDS 資料庫一起動態更新嗎?

請在 FSMO 伺服器上面用管理員身分執行 dcdiag, 他所回報的任何錯誤, 都必須挑出來逐項排除掉, 只要有一項沒有排除, 你的 AD 資料庫或是架構就有問題....

這個做完, 請接著做 repadmin /showrepl /all 同樣把所有的錯誤項目通通查修完畢...

以上兩項都作完, AD 應該不會有異常的狀況才對...

zxc512034 iT邦新手 5 級 ‧ 2018-10-23 10:37:58 檢舉

大大我把DNS調整動態更新後,win10可以加入網域了
但是dcdiag有出現
未通過測試DFSREvent
但是目前功能正常

raytracy iT邦大神 1 級 ‧ 2018-10-23 14:35:41 檢舉

如果你只有一台 DC 的話, 那個應該沒關係才對; 但是只有一台也不應該出現 DFSR 問題....(所以還是要查, 不過可以慢慢查) 此外, DFSR 有問題, 你的 repadmin 結果也應該有問題才對...

若你有多台 DC 的話, 這個問題就必須要解決, 否則你將來可能會遇到:

  1. SYSVOL 抓錯位置
  2. GPO 修改後沒有更新
  3. 有些人的 GPO 派送結果跟別人不同
  4. 新增的用戶有時無法登入, 有時卻可以
  5. 明明改了密碼, 卻只能用舊密碼登入

以上問題在剛開始很不明顯, 後期會越來越嚴重, 過了 60 天之後, 以上問題就無法修復, 你的某一台 DC 將會永久離線, 或是新增的 User 會放錯 NTDS 資料庫....

這個從他開始出現 DFSR 那天算起, 你只有 60 天的時間去解決它, 否則就會留下永久性的損壞, 無法修復.....

我要發表回答

立即登入回答