Проверка подлинности компьютера с неправильным DC... вроде
У меня есть сценарий входа, который использует переменную среды LOGONSERVER. У меня есть несколько удаленных офисов. В каждом офисе есть один файловый сервер /DC, и у каждого офиса есть свой сайт. Поэтому, когда пользователь входит в офис, он должен пройти аутентификацию на этом контроллере домена.
Проблема, с которой я столкнулся, заключается в том, что некоторые компьютеры в офисе (не все) будут проходить проверку подлинности со случайным DC из другого офиса через несколько дней, но через несколько дней все будет в порядке. Так, например, парень входит в офис 16, он должен аутентифицироваться с помощью SERVER16, однако он аутентифицируется с помощью SERVER13. Когда я проверил средство просмотра событий на его компьютере, я вижу, что время синхронизировано с правильным сервером (SERVER16), однако его диски сопоставлены с SERVER13, и при запуске set из командной строки он показывает свой LOGONSERVER как SERVER13.
Так как же компьютер может синхронизировать время с соответствующим DC для своего сайта, но все же аутентифицироваться с сервером на другом сайте? Я проверил сайты и службы AD и DNS. Каждый сайт имеет только один DC, правильный, и записи сайта DNS для каждого сайта являются правильными. По всей логике, нет причин, по которым это должно происходить, если я что-то упустил. Кроме того, мы работаем в смешанной среде Windows 2003/2008, и не имеет значения, какова платформа сервера.
2 ответа
Это на самом деле чаще, чем вы думаете. Проверьте следующее, чтобы увидеть, помогает ли это:
Как заставить машины на сайте AD проходить аутентификацию в GC на своем сайте
Мы видели это по нескольким причинам:
- DNS/WINS неправильно настроен на клиентах. Убедитесь, что у них нет вторичного сервера DNS/WINS, который не находится в их локальной сети.
- Убедитесь, что стоимость ссылок выше, чем по умолчанию в сайтах и службах AD. Если это не так и локальный контроллер домена занят, удаленные контроллеры домена могут ответить быстрее, поскольку стоимость соединения установлена на достаточно низком уровне, что предполагает, что он должен отвечать как ближайший контроллер домена.