Компьютер в домене не видит компьютер вне домена
Обновлено: 07.07.2024
Собственно вопрос: А если пользователь, допустим, забрал свой ноутбук, который мы ввели в домен и что получиться? Профиль-то на сервере, поэтому настроек нет, все по дефолту. Как сделать так, чтобы профиль хранился и на серваке и на компе локально, а, скажем, при выключении компа синхронизировался, и потом грузился и с сервера и локально?
Кроме того, при локальной загрузке снижается нагрузка на сеть, сокращается время запуска компа.
Буду признателен за любую инфу
POCOMAXA1. А что мешает пользователю при отсутствии связи с доменом пользоваться локальным аккаунтом вместо доменного?
2. Даже при отсутствии связи с доменом ОС пустит доменного пользователя, если тот уже заходил под своим аккаунтом в домен с этой машины, поскольку даже для перемещаемого профиля копия хранится локально. Максимум при этом ОС ругнётся, что домен недоступен, но всё равно впустит. Кроме того, если под этим же аккаунтом осуществлялся вход с другой машины - могут возникнуть проблемы с синхронизацией профиля (комп, отключённый от сети, ожидает встретить одну версию профиля на сервере, а там уже другая). __________________
Не засоряйте форум "спасибами"! Для выражения благодарности существуют ПС и репутация! Соблюдайте Правила!
Распространенье наше по планете
Особенно заметно вдалеке:
В общественном парижском туалете
Есть надписи на русском языке
В. Высоцкий
Можно зайти под локальным аккаунтом, но тогда пользователь увидит совсем другой интерфейс, начнутся проблемы с почтой и тому подобные "мелкие" проблемы.
Да, и еще, комп будет грузиться с локальной копии или грузить все-таки с сервака? Вроде как, комп пользователя должен сравнить профили локальный и серверный и загрузить тот, который более поздний. Это не утверждение, просто догадка. Сорри, просто я под аккаунтом жены жены заходил Slinky - это POCOMAXA
Хмм, насколько я знаю винда в принципе хранит профиль только на пользовательской машине, при этом например у меня в офисе невозможно зайти под domain аккаунтом если домен недоступен.
Самым логичным тут наверно будет следующее:
1. Пользователь работает в домене, формирует свой профиль и т.д.
2. Когда нужна работа вне домена администратор создает для пользователя локальный аккаунт и копирует всю инфу из папки Docs and settings/username.domain в папку этого нового локального аккаунта.
Вроде бы при таком варианте могут быть проблемы только с настроками почты.
Как только время на работе будет сам попробую так сделать, посмотрю что получится
Применяется к: Windows Server 2016, Windows Server 2012 R2
Исходный номер КБ: 4341920
Где найти файл Netsetup.log
Windows в файле %windir% отламывание \ \ Netsetup.log.
Ошибка 1
Попытка разрешить DNS-имя dc в присоединяемом домене не удалась. Убедитесь, что этот клиент настроен для достижения DNS-сервера, который может разрешать имена DNS в целевом домене.
Решение
Кроме того, убедитесь, что компьютер может достичь DNS-сервера, на котором размещена зона DNS целевого домена, или разрешить DNS-имена в этом домене. Убедитесь, что правильный DNS-сервер настроен на этом клиенте как предпочтительный DNS и что клиент имеет подключение к этому серверу. Чтобы убедиться в этом, можно выполнить одну из следующих команд:
Ошибка 2
Попытка устранить имя DNS контроллера домена в присоединяемом домене не удалась. Убедитесь, что этот клиент настроен для достижения DNS-сервера, который может разрешать имена DNS в целевом домене.
Решение
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS.
Кроме того, убедитесь, что компьютер может достичь DNS-сервера, на котором размещена зона DNS целевого домена, или разрешить DNS-имена в этом домене. Убедитесь, что правильный DNS-сервер настроен на этом клиенте как предпочтительный DNS и что клиент имеет подключение к этому серверу. Чтобы убедиться в этом, можно выполнить одну из следующих команд:
Ошибка 3
Была предпринята попытка операции при несущестовом сетевом подключении.
Решение
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS. Кроме того, перезапустите компьютер, прежде чем пытаться присоединиться к компьютеру в домен.
Ошибка 4
Не допускается несколько подключений к серверу или общему ресурсу одного пользователя с несколькими именами пользователей. Отключите все предыдущие подключения к серверу или общему ресурсу и попробуйте еще раз.
Решение
Перезапустите компьютер, который вы пытаетесь присоединиться к домену, чтобы убедиться в том, что на серверах домена нет никаких затаивных подключений.
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS.
Ошибка 5
Решение
Убедитесь, что компьютер может достичь DNS-сервера, на котором размещена зона DNS целевого домена, или разрешить DNS-имена в этом домене. Убедитесь, что правильный DNS-сервер был настроен на этом клиенте как предпочтительный DNS и что клиент имеет подключение к этому серверу. Чтобы убедиться в этом, можно выполнить одну из следующих команд:
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS.
Кроме того, можно обновить драйвер сетевого адаптер.
Ошибка 6
В настоящее время на этом удаленном компьютере не может быть подключено больше подключений, так как подключений уже столько, сколько может принять компьютер.
Решение
Перед присоединением компьютера к домену убедитесь, что вы счистили все подключений к любым дискам.
Перезапустите компьютер, который вы пытаетесь присоединиться к домену, чтобы убедиться в том, что на серверах домена нет никаких затаивных подключений.
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS.
Ошибка может быть переходной. Повторите попытку позже. Если проблема сохраняется, проверьте состояние постоянного тока, к который подключается клиент (активные подключения, подключение к сети и так далее). При сохраняемой проблеме может потребоваться перезапустить dc.
Ошибка 7
Формат указанного имени сети недействителен.
Решение
Убедитесь, что компьютер может достичь DNS-сервера, на котором размещена зона DNS целевого домена, или разрешить DNS-имена в этом домене. Убедитесь, что правильный DNS-сервер был настроен на этом клиенте как предпочтительный DNS и что клиент имеет подключение к этому серверу. Чтобы убедиться в этом, можно выполнить одну из следующих команд:
При введите доменное имя, убедитесь, что вы введите имя DNS, а не имя NetBIOS. Убедитесь, что для сетевого адаптера клиентского компьютера установлены самые последние драйверы. Проверка подключения между подключенным клиентом и целевой dc над требуемой портами и протоколами. Отключите функцию разгрузки труб TCP и разгрузку IP.
Ошибка 8
Служба каталогов исчерпала пул относительных идентификаторов.
Решение
Убедитесь, что контроллер постоянного тока, в котором размещен мастер операций по относительному ID (RID), является сетевым и функциональным. Дополнительные сведения см. в документе Event ID 16650:в сервере Windows идентификатор учетной записи не удалось инициализировать.
Вы можете использовать netdom query fsmo команду, чтобы определить, какая роль dc имеет главную роль RID.
Убедитесь, что Active Directory реплицируется между всеми DCs. Для обнаружения ошибок можно использовать следующую команду:
Ошибка 9
Вызов удаленной процедуры не удался и не выполняется.
Решение
Убедитесь, что для сетевого адаптера клиентского компьютера установлены самые последние драйверы. Проверка подключения между подключенным клиентом и целевой dc над требуемой портами и протоколами. Отключите функцию разгрузки труб TCP и разгрузку IP.
Эта проблема также может быть вызвана одним из следующих условий:
- Сетевое устройство (маршрутизатор, брандмауэр или VPN-устройство) блокирует подключение к портам и протоколам, используемым протоколом MSRPC.
- Сетевое устройство (маршрутизатор, брандмауэр или VPN-устройство) отклоняет сетевые пакеты между клиентом, который присоединяется, и dc.
Ошибка 10
Изменение имени DNS основного домена этого компьютера на "" не удалось. Имя останется ".". Указанный сервер не может выполнять операцию.
Решение
Эта ошибка возникает при использовании пользовательского интерфейса присоединиться к домену Windows 7 или Windows Server 2008 R2 в домен Active Directory, указав целевой домен DNS. Чтобы устранить эту ошибку, см. в 2018583 Windows 7 или Windows 2008 R2 домена Server 2008отображает ошибку "Изменение имени DNS основного домена этого компьютера на "" не удалось. " .
Ошибка 1
Вы превысили максимальное количество учетных записей компьютера, которые можно создать в этом домене.
Решение
Убедитесь, что у вас есть разрешения на добавление компьютеров в домен и что квота, определяемая администратором домена, не превышается.
Чтобы присоединить компьютер к домену, учетной записи пользователя необходимо предоставить разрешение на создание объектов компьютера в Active Directory.
По умолчанию пользователь, не управляющий, может присоединиться к домену Active Directory не более 10 компьютеров.
Ошибка 2
Ошибка logon. Имя целевой учетной записи неверно.
Решение
Ошибка 3
Ошибка logon: пользователю не был предоставлен запрашиваемого типа логотипа на этом компьютере.
Решение
Убедитесь, что у вас есть разрешения на добавление компьютеров в домен. Чтобы присоединиться к компьютеру в домене, учетной записи пользователя необходимо предоставить разрешение на создание объекта компьютера в Active Directory.
Кроме того, убедитесь, что указанной учетной записи пользователя разрешено войти на локальном компьютере клиента. Для этого настройте журнал Разрешить локальное настройку в групповой политике в соответствии с конфигурацией компьютера > Windows Параметры > безопасности Параметры > локальных политик > назначения прав пользователей.
Ошибка 4
Ошибка logon: неизвестное имя пользователя или плохой пароль.
Решение
Убедитесь, что вы используете правильное имя пользователя и сочетание паролей существующей учетной записи пользователя Active Directory, когда вам будут предложены учетные данные для добавления компьютера в домен.
Ошибка 5
Сопоставление между именами учетных записей и ИД безопасности не было сделано.
Решение
Эта ошибка, скорее всего, является переходной ошибкой, которая регистрируется при вступивании домена в поиске целевого домена, чтобы определить, была ли уже создана учетная запись компьютера с учетной записью, которая соответствует этому, или же операция при подсоединение должна динамически создать учетную запись компьютера в целевом домене.
Ошибка 6
Недостаточное хранилище доступно для выполнения этой операции.
Решение
Ошибка 7
Учетная запись не разрешена для входа с этой станции.
Решение
Эта проблема связана с несоответствием параметров подписи SMB между клиентского компьютера и dc, который в настоящее время связаться для операции пользования доменом присоединиться. Просмотрите следующую документацию для дальнейшего изучения текущих и рекомендуемых значений в вашей среде:
281648 ошибки: учетная запись не разрешена для входа с этой станции 823659 проблемы с клиентом, службой и программой могут возникнуть при изменении параметров безопасности и назначений прав пользователей
Ошибка 8
Учетная запись, указанная для этой службы, отличается от учетной записи, указанной для других служб, работающих в том же процессе.
Решение
Убедитесь, что в dc, через который вы пытаетесь присоединиться к домену, запущена Windows time.
При входе на компьютер с доменной учетной записью пользователь вводит свои учетные данные, которые передаются на ближайший контроллер домена для проверки подлинности. Если в сетевом окружении отсутствуют доступные контроллеры домена, то учетные данные проверить некому и в систему пользователь войти не сможет.
Чтобы избежать подобной ситуации, после успешного входа в систему учетные данные пользователя сохраняются в кэш на локальном компьютере. Это позволяет войти в систему с доменными учетными данными и получить доступ к ресурсам локального компьютера даже при отсутствии подключения к домену.
Примечание. Если быть точным, то кэшируются не сами учетные данные (логин и пароль), а результат их проверки. Еще точнее система хранит хэш пароля, модифицированный при помощи соли (salt), которая в свою очередь, генерируется на основе имени пользователя. Кэшированные данные хранятся в разделе реестра HKLM\SECURITY\Cache, доступ к которому имеет только система.
За возможность кэширования отвечает параметр реестра CashedLogonsCount, находящийся в разделе HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon. Этот параметр определяет количество уникальных пользователей, чьи учетные данные сохраняются локально. По умолчанию значение параметра равно 10, что означает следующее: учетные данные сохраняются для последних 10 пользователей, заходивших в систему, а при входе на компьютер одиннадцатого пользователя учетные данные первого пользователя будут перезаписаны.
Управлять значением CashedLogonsCount можно централизованно, с помощью групповых политик. Для этого необходимо создать новый GPO (или открыть существующий), перейти в раздел Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options и найти параметр Interactive logon: Number of previous logons to cache (in case domain controller is not available).
По умолчанию данный параметр не определен (Not Defined), соответственно на всех компьютерах используется дефолтное значение. Для его изменения надо включить параметр и указать необходимое значение в пределах от 0 до 50. Значение, равное 0, означает запрет на кэширование учетных данных, соответственно при этом значении вход в систему при недоступности контроллера домена невозможен.
Поскольку теоретически при наличии физического доступа к компьютеру у злоумышленника есть возможность воспользоваться сохраненными учетными данными, то для повышения безопасности рекомендуется отключать локальное кэширование. Исключение могут составить пользователи мобильных устройств (ноутбуков, планшетов и т.п.), которые пользуются устройствами как на работе, так и вне ее. Для таких пользователей количество кэшированных входов можно задать в пределах 1-2. Этого вполне достаточно для работы.
И в завершение пара важных моментов:
• Для того, чтобы учетные данные были закешированы необходимо, чтобы пользователь хотя-бы раз зашел на компьютер под своей доменной учетной записью при доступном контроллере домена.
• Довольно часто параметр CashedLogonsCount трактуют как количество входов в систему при отсутствии доступа к домену. Это не так, и если учетные данные пользователя закешированы локально, то он сможет заходить в систему неограниченное количество раз.
Представьте такую ситуацию: компьютеры в вашей сети не могут найти свой контроллер домена, соответственно пользователи не могут зайти в систему. Всюду возмущенные крики и вопли… Что же делать? В данном случае можно попробовать воспользоваться процедурой траблшутинга процесса поиска контроллера домена (domain controller location process), как одной из базовых методик диагностики проблем входа в систему.
Проверка
Чтобы определить причину проблемы, выполните следующие действия:
1. Убедитесь, что компьютер имеет верные настойки сетевой карты, в том числе IP-адрес, DNS сервер и шлюз по умолчанию. Чтобы отобразить всю эту информацию, откройте окно командной строки и наберите ipconfig /all. Если конфигурация неверная, исправьте ее.
2. С помощью команды Ping проверьте доступность IP адреса маршрутизатора, указанного в качестве дефолтного, доступность DNS сервера и ближайшего контроллера домена в вашем сайте. Если хотя бы до одного из этих элементов связь не проходит, найдите и устраните эту проблему.
5. С помощью команды Nslookup удостоверьтесь, что DNS содержит необходимые и актуальные данные записи для поиска контроллера домена. Если результатом одного из следующих тестов будет ошибка, и вам не будет возвращены правильные имена и ip адреса хостов, перезагрузите контроллеры домена, чтобы заставить их перерегистрироваться в DNS (также убедитесь что DNS настроен на прием динамических обновлений и может создавать записи ресурсов SRV ):
Читайте также: