--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Проблема с доступом в домен

Сисадминское
13
47
С друзьями на NN.RU
В социальных сетях
Поделиться
Reutoff
03.06.2014
Дано: сетка с доменом. Сразу оговорюсь - делал её не я и нихрена в ней не понимаю. Комп (несколько глючащий, но это отдельная пестня) после очередной перезагрузки отказался входить в домен со словами "Бла-бла-бла, не может установить доверительные отношения".
Вопрос: чем это может быть вызвано, если с другого компа с этим именем пользователя в домен прекрасно заныривает?
qwuken
03.06.2014
А что в логах пишется?
Reutoff
03.06.2014
Доступа к серваку домена у меня нет.
Админ тамошний в командировке.
Меня тупо попросили посмотреть что с компом - надо срочно документы сдавать, которые там на винте.
В итоге плюнул, вынул винт, подключил к своему компу, скопировал документы и временно поставил там другой старенький компьютер (с которого прекрасно заходится в домен).
В общем проблема не моя абсолютно, временно до приезда админа вопрос отложился но просто стало интересно :-)
время какое на домене и в компе?
Reutoff
03.06.2014
Всё норм со временем там. Всё одинаково. Смотрел уже по совету товарищей.
Точнее, время и дата на проблемном компе совпадает с оными на беспроблемном, стоящем рядом.
а при чем тут время?
а причём тут Kerberos Network Authentication?
Esik
03.06.2014
Ну, вообще-то, если с доверием компьютеру нет проблем и различается только время, то оно синхронизируется со временем контролера домена сразу после успешной аутенфикации.
окей. на домене нет NTP. куда бежит логин после этого?
Esik
04.06.2014
Если нет, то хана.
Пакет считается подделанным и отвергается.
Надо быть очень смелым или глупым, чтобы так организовать домен.
Esik писал(а)
Надо быть очень смелым или глупым, чтобы так организовать домен. ...

По умолчанию так и есть )) в домене. Менял ли это товарищ с глючными компами в своём хозяйстве....вопрос,да? :)
Вроде бы в 2008м уже сделано по человечьи, нет?
NTP-адрес комп получает с DHCP, для этого членом домена быть не надо.
Мерзавец писал(а)
окей. на домене нет NTP.

Не смешивайте NTP (регулярную синхронизацию времени с сетевым источником, не обязательно КД) с синхронизацией времени с КД вообще.
никто и не меняет, на клиенте не указано ничего, откуда ему время брать? )))
А на клиенте и не надо ничего указывать. Он с КД сам берет.
А оно только из-за времени? Я уже не говорю про то, что при рассинхронизации часов оно не пишет про trust relationship. Проблема со временем актуальна если вас пытается аутентифицировать третья сторона, например, заходите на другую машину по RDP. Если у этой машины съехало время, она посчитает ваш KT недействительным. А вообще, не надо ничего выдумавать, я в последнем посте по треду все объяснил.
Не напомните, когда дядя дима медведев перевёл всю Россию на летнее время?
При чем тут это?
При том что были такие траблы и ошибки в домене...
Так что тут никто ничего не выдумывает ;)
qwuken
03.06.2014
В логах клиента тоже должно что-то фиксироваться
Reutoff
03.06.2014
Ещё бы в них попасть, в эти логи :-)
Копируя информацию тупо не посмотрел. А винт уже отдал обратно.
Reutoff писал(а)
Комп (несколько глючащий, но это отдельная пестня)

вряд ли....

я бы для начала преввел комп в домен.
Проблема возникает из-за того, что "испортился" пароль учетной записи компьютера в АД. Что бы обойти этот эффект достаточно зайти на компьютер не под доменным, а под локальным пользователем. Что бы пофиксить проблему, берете инструмент Active Directory Users and Computers, находите учетную запись компьютера и делаете Repair (если домен 2008 и выше) или выносите его из домена и вводите заново (если домен 2003 и старше). Разумеется, для этого вам нужны права либо администратора, либо Account Administrator'а домена.
Esik
03.06.2014
Аналогично.

Такая ошибка у меня возникала, когда делаю апгрейд техники.
У меня имена компьютеров привязаны не к физическому месту расположения людей (в организации нередки переезды из комнаты в комнату и тасовка кадров внутри), что создало бы путаницу в том, "какая комната теперь чем занимается". А к пользователю. Поскольку людям логичнее определять, кому передать файл по имени исполнителя, а не по порядковому номеру компьютера в конкретном кабинете.

Так вот, когда новый компьютер введён в домен, попытка войти с той же учёткой со старого вызовет именно такое сообщение с отказом в обслуживании.
И это понятно. Поскольку за таким именем компьютера у контроллера домена числится уже другое железо. поэтому доверять смысла как бы нет никакого.

Соответственно, чтобы войти в домен нормально, этот компьютер надо исключить из домена (с отключенным сетевым кабелем!!! Иначе из домена исключится новый компьютер и тогда на нём уже будет возникать такое же сообщение). Переименовать, и включить в домен уже с другим именем.

Разумеется, надо знать учётку, имеющую права на такие манипуляции с доменом.

Или можно исключить компьютер из домена и заходить на шару другого компьютера.
Тогда у Вас запросятся логин с паролем доменного пользователя. И если у него будут права к доступу на шару, то файлы можно было спокойно копировать.
немного не по теме, но вам явно нечем заняться... переименовывать комп при смене оператора, да еще при этом шары переделывать или принтера...
у нормального админа на клиентах шар нет. а принтера подключаются по IP, который фиксируется в резервировании. хотя расшаренные локальные принтера - это позавчерашний день.
Esik
04.06.2014
Тем не менее, имею альтернативную, централизованную организацию шар на сервере с квотированием в головной организации.
И если у меня проблема со свободным местом и грязью в шаре - проблема конкретного юзера, то по другой схеме начальство пишет служебки по всем подразделениям, пытаясь как-то причесать тот бардак, что исторически сложился при смене поколений админов.

Принтер подключить по IP не всегда имеется возможность.
Ремонт в последний раз делался 15 лет назад и розетки не совпадают ни по количеству, ни по расположению с текущим положением дел. Да и не все принтеры имеют сетевую карту.
так квотирование на сервере и шары на локальных компах - это всё же разные вещи.
вы не поняли про IP. имелось ввиду, что подключая принтер, надо указывать не ДНС-имя компа, а его адрес. тогда при смене имени Вы просто в ДХЦП присваиваете старый адрес новому имени - и все продолжают пользовать принтер даже ничего не заметив. резервирование для общедоступных ресурсов - это отченаш.
Esik
04.06.2014
У меня статическая IP адресация и примерно так и сделано.
Т.е. при замене системника с рашаренным принтером на другой поправлять ничего не надо.
Вот при смене оператора - да.
Но тут опять же скользкий момент.
Иногда, по понятным, и человечьим причинам, принтера меняют своих хозяев. И если привязывать их к статике, то придётся ходить самому по каждому компьютеру.
В противном случае, пользователь вполне самостоятельно может добавить интересующий его принтер путём двойного клика по шаре в оснастке "сетевое окружение".

Словом, наверное тут разговор скорее о привычках и конкретных вкусах админа в разных реализациях.
я не знаю что такое "Оператор".
Опытный пользователь и так имеет право устанавливать сетевой принтер.
Принтер к статике не привязывается. Привязывается МАС.
Esik
04.06.2014
Deathmaker писал(а)
я не знаю что такое "Оператор".

:)
Использовал чей-то оборот, означающий смену конечного пользователя.

Про mac не понял. Мы ведь до сих пор ведём речь о расшаренных принтерах, где вместо DNS имени используется статический IP адрес на стороне удалённого хоста?
Опять же не знаю, что такое конечный пользователь. Если это Юзер - то глубоко пофигу какой он, если ему разрешен доступ к устройству.

можно подключить \\comp\HPLJ1018
можно подключить \\192.168.1.122\HPLJ1018
во втором случае при пересаживании принтера на новый комп, в ДХЦП просто меняем условия резервирования и юзер ничего не замечает. при замене компа опять же просто меняем МАС на новый - и юзер опять ничего не замечает.
статика годна когда 5-10 компов. больше - зло.
чтобы не бегать, недавно придумали удалённый доступ.
Esik
04.06.2014
В курсе, что он существует.
Но далеко не все проблемы должны решаться удалённо.
А моей натуре так вообще ближе дойти до человека пешком, взглянуть в его глазоньки и постараться объяснить, почему он попал в ту задницу, с которой меня вызвал. И что надо делать для того, чтобы в следующий раз этого не было.
В смысле дойти мне проще, даже чем позвонить.

Хотя, справедливости ради, может это потому что подавляющее большинство сотрудников - дамы. И мне просто приятнее живое общение с ними.

Ах да...
У меня в сети исторически сложилась статическая адресация, где каждому подразделению выделен свой диапазон. По сути, по следам в логах я уже точно знаю, кто и что делал.
Зачем мне ДХЦП - ума не приложу, если его админить нисколько не легче, чем иметь статическую адресацию.

Готов слушать аргументы, почему ДХЦП, которое, ИМХО, сделано, чтобы не грузить людей, ничего не понимающих в настройке TCP IP, круче, чем статика.

Уже понял, что можно не поднимать задницу для смены IP у конкретного mac. Но мне это нужно не очень часто.
да много чего можно сделать из ДХЦП. открыть/закрыть интернет, например. переключить на другой канал. перекинуть из одной подсети в другую.
всё это - не поднимая жопы. рулить ей сильно проще, чем даже ДНСами.
у меня тоже одни дамы работают. но по возможности делаю всё удалённо. в т.ч. из дома.
Esik
04.06.2014
Ну хорошо. Я подумаю и всё взвешу.
Всё равно в головной конторе всё поднято на ДХЦП и новая метла начальство требует единых стандартов в построении сайтов объединённого домена.
Наверняка будем обсуждать и этот вопрос. Так хоть будет время подумать перед совещанием.
Esik
04.06.2014
Если бы было нечего делать, то вообще оставил бы одноранговую сеть, как было до меня. И переписывать было бы надо куда больше.
Шары легко остаются при смене оператора.
А функционал работника (или системного блока) может изменится.
Какие проблемы найти в оснастке "сетевое окружение" этот компьютер, если это делается и без того?
все дело в том, что я этим подходом "наелся" чуть больше, чем дохрена. поэтому идентификатор рабочей станции, оно же имя компьютера, дается один раз при установке. максимум - в ад в поле описание фио оператора, ну и за локально хранящиеся документы отвечает тот, кто их там хранит. справедливо при наличии ад, файлового сервиса (сетевого диска) и тд. и т.п. ибо существуют и бездоменные сети, для которых все сложнее, согласен, и работы там по разгребанию\приведению в порядок тоже "много".
все вышесказанное - просто опыт работы, даже сейчас приходится проводить разъяснительную работу среди сотрудников, у них задача денежку для конторы зарабатывать, а моя - чтобы важные данные не пропали, поэтому беседы и "административный ресурс", куда уж без него...;-)
Esik
04.06.2014
Не знаю. Это совсем другая схема потоков данных внутри конторы.
При общем хранилище на сервере действительно отпадёт нужда искать через оснастку компьютер по фамилии исполнителя...
Ерунда какая-то... Меняю компы на работе регулярно, старое имя из домена вынес, новое внёс - и глубоко пофигу, с каким юзером в него заходят.
Esik
04.06.2014
Это логично, если не использовать локальные шары.
локальные шары - пионерство. истребил как класс еще в начале 2000х и отобрал права на их создание. есть сервер с юзерскими папками - мусорьте там. чистится одним кликом.
Esik
04.06.2014
Это не всегда возможно.
Неоднократно случалось, что в уничтоженной одним кликом стандартной папочке "Мои рисунки", пользователь хранил архив личных документов за несколько лет.
А в шаре хранились чертовски важные документы, с которыми велась работа каждый день.
И были вопли, когда пользователь прибегал: "Куда всё делось?!!". Приходилось объяснять, что класть важные документы в шару - всё равно что оставить автомобиль на стоянке открытым. И надеяться, что он никого не привлечёт.

И тем не менее, взял в привычку чужие шары не чистить. А если они будут на сервере - это придётся брать под контроль.
И, говоря откровенно, не совсем понимаю, в чём проблема локальных шар с вашей точки зрения.
Меня абсолютно не волнует, что и куда засунул юзер по своей дурости. сам засунул - сам пусть и достаёт. Он завтра бутылку шампанского себе в жопу засунуть - мне что, проктологом работать? Если порядок хранения документов, установленный служебным распоряжением и доведенный до пользователей, есть бэкап хранилища документов. всё, что положено не так и не там - половые проблемы юзера.
нет ничего дурнее, чем плодить локальные шары а потом пытаться выяснить - на какой компьютер и в какую шару с каким именем юзер сунул "очень важный документ".
Esik
04.06.2014
Deathmaker писал(а)
нет ничего дурнее, чем плодить локальные шары а потом пытаться выяснить - на какой компьютер и в какую шару с каким именем юзер сунул "очень важный документ".

Тьфу-тьфу. Если такое и бывало, то с "очень важными документами" на своём, родном диске.
Хотя, конечно, настроить резервное копирование с сервера куда проще, чем на куче локальных шар.
а у меня бывало. прибегает кура и начинает орать, что она вчера работала с очень важным документом (какой-то годовой отчет) с шары на компе главбуха, "а сегодня он пропал". Смотрю в рецентах - нет такого документа. Смотрю на компе главбуха - нет такого документа. Начинаю плавно обшаривать все компы (2 десятка) и нахожу на совсем другом компе. оказывается кура куда сохранила последний документ, там новый и создала, как ей предложили, а "на компе главбуха" она открывала другой документ, из которого копировала данные.
в моей нынешней структуре это невозможно, юзеру на изменение доступны три папки на сервере: Своя, !Входящие, !Исходящие. В любом случае это одна физическая папка на диске сервера. Ищется всё на раз-два.
Esik
04.06.2014
Но ведь сервер с файлопомойкой надо куда круче при таком подходе. Вы перешли на такую систему после решения проблемы выживания по финансированию?
У меня так только один раз мне дали технику по полному объёму заявки. К моему величайшему изумлению.
Но всё равно до сих пор есть в работе 10 летние мастадонты на 478 соккете.
под файлопомойкой рейд 10ка на десктопной маме от Интела. 2Тб - пока нам хватает, хотя там не только офисные, но и графические файлы. только мультимедию запрещаю класть. проц 2,5, памяти 4Гб - на всём этом висит КД и СЕП, а одно время и МСИСА крутился (пока на безлимит не сели.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Форум Тема (Автор) Последний ответ Ответов
Интернет-НН Хомтелеком   -  super_dj™ 15.03.2025 в 13:03:20 1
Технотуса ПАС в акустике   -  REPTe 06.02.2025 в 13:52:11 1