Rechner verlieren nach und nach die Vertauensstellung zur Domäne

[Citrix 13]

Hallo zusammen,

 

habe derzeitig das Problem dass alle 2-3 Tage ein Rechner aus der Domäne die Fehlermeldung bringt:

 

 

Die Vertrauensstellung zwischen der Arbeitsstation und der Domäne kann nicht hergestellt werden

 

 

Dies ist mittlerweile bei dem 3. PC in einer Woche passiert. Es wurden keine großen Änderungen am Active Directory oder anderen Systemen durchgeführt.

Zeit auf Server und Clients sind synchron.

 

Bei einem Herausnehmen des PCs aus der Domäne und wieder hinzufügen erscheint wiederum eine Fehlermeldung:

 

 

Bei dem Versuch der Domäne "domain.local" beizutreten, trat der folgende Fehler auf:

 

Die Funktion kann nicht abgeschlossen werden.

 

 

Bin mittlerweile ein wenig ratlos...

 

Falls jemand Ideen hat wäre ich sehr dankbar.

 

Gruß,

Citrix

[lefg 276]

Moin,

 

Fehlermeldungen, Warnungen im Ereignisprotokoll von PC und DC?

bearbeitet 14. Dezember 2015 von lefg

[Alith Anar 40]

Wie viele DCs sind im Einsatz? Funktioniert die Replikation zwischen denen ?

[Nobbyaushb 1.475]

Moin,

 

habe ich mehrfach gesehen, immer nach einem Patchday, wenn auf den DC´s was angefasst wurde, meist in Zusammenhang mit Schema-Änderungen.

 

Wie Alith schon schrieb, wenn mehrere DC´s im Einsatz sind, ist die Replikation OK?

 

;)

[Citrix 13]

Hallo zusammen,

 

nein, es sind nicht mehrere DCs in Betrieb, also auch keine Replikationsprobleme.

 

Ereignisprotokoll gehe ich später durch.

 

Gruß,

Citrix

[testperson 1.707]

Hi,

 

auch hier könnte mal wieder ein SpeedPort (o.ä.) einen IPv6 DNS verteilen. Prüfe / Poste mal ein "ipconfig /all" von Client und Server.

 

Gruß

Jan

[Citrix 13]

Hallo zusammen,

 

SpeedPort ist dort keiner im Betrieb, also ist das auszuschliessen.

 

Merkwürdigerweise hat auch Acronis kein Backup mehr gefahren.

Fehlermeldung: Nachricht: Der VSS Writer 'NTDS' mit der Class-ID 'B2014C9E-8711-4C5C-A5A9-3CF384484757' konnte den Snapshot nicht verarbeiten. Nachricht: Unknown Win32 error.

 

Das ist ungefähr zur gleichen Zeit aufgetreten als die Clients angefangen haben die Vertrauensstellung zu verlieren.

 

Nach einem ESX-Neustart funktioniert mit den Clients und der Vertrauensstellung wieder alles, Acronis-Backups funktionieren jedoch immer noch nicht.

 

Auch wird in der ESX-Konfiguration ein Fehler Betreff der Batterie angezeigt.

 

 

Sehr merkwürdig das ganze....

 

Mit freundlichen Grüßen,

Citrix

[NilsK 2.957]

Moin,

 

verteilt der ESX zufällig eine falsche Zeit?

 

Gruß, Nils

[testperson 1.707]

SpeedPort ist dort keiner im Betrieb, also ist das auszuschliessen.

Es gibt nicht nur SpeedPorts auf dieser Welt.. Ebenfalls machen es gerne diverse Kabelmodems oder FrirtBoxen. Zuletzt war es auch einmal eine PFSense..

[Citrix 13]

Hallo zusammen,

 

Moin,

 

verteilt der ESX zufällig eine falsche Zeit?

 

Gruß, Nils

 

Danke für die Idee! In der ESX-Konfiguration ist tatsächlich ein kleiner Zeitunterschied von etwa genau 5 Minuten. Soweit ich weiß ist das auch die maximale Zeit die Client und Server auseinander liegen dürfen. (Kerberos?)

 

Auch ist Datum & Uhrzeit in roter Schriftart?

 

Jedoch läuft nur die zeit auf dem ESX nicht korrekt. Auf dem Server und den Clients sind sie gleich...

 

Mit freundlichen Grüßen,

Citrix

bearbeitet 15. Dezember 2015 von Citrix

[NilsK 2.957]

Moin,

 

korrigier das trotzdem mal. Am besten trägst du als NTP-Server einen DC ein (oder noch besser: Den DNS-Namen der Domäne, dann antwortet immer einer der DCs).

 

Ich habe scon oft gesehen, dass ESX zu bestimmten Zeitpunkten seine Zeit an die Gäste weitergibt (z.B. beim Booten). Im Eventlog sieht man dann oft sehr hübsch, dass NTP irgendwann eingreift und die Zeit korrigiert, aber dann kann es schon zu spät sein. Auch ein ständiges Hin- und Herwechseln der Zeit habe ich in solchen Konstellationen schon gesehen.

 

Gruß, Nils

PS. "etwa genau 5 Minuten" ist putzig ... ;)

[zahni 554]

Hatten wir doch erst ein einem anderen Thread: NTP-Server im ESX(i) konfigurieren. Am Besten einen "Echten", von dem sollte sich der PDC-Emulator dann auch die Zeit holen.

[blub 115]

Du kannst auf dem betroffenen Client mal ein

klist tgt

ausführen.

 

Besitzt der angemeldete User ein Ticket?

Wie ist der TimeSkew?

[Weingeist 159]

Kann auch nur empfehlen die Timeserver-Geschichte gscheit aufzugleisen. Deine Probleme kommen wie die Vorredner schon sagten, gerne von Zeitdifferenzen. Die schicke Anleitung von Norbert ist da sehr hilfreich für die Konfiguration. Gerade in Verbindung mit einem ESXi und virtualisiertem PDC und vor allem bei mehreren DC's empfiehlt es sich aber schon, dass der Host bereits über eine korrekte Zeit verfügt. Irgendwoher nimmt sich der Client ja mal die Startzeit, auch wenn er sie anschliessend korrigiert.

 

Was ich auch schon mehr als einmal vorgefunden habe, waren schlechte LAN-Kabel. Die bewirken das gleiche Fehlerbild mit Clients die einfach so nicht mehr "sicher" sind. Also z.B. ehemals für 100 verlegt und jetzt mit 1000 Gbit drüber. Da werden unter Umständen so viele Pakete verworfen, dass keine saubere Kommunikation stattfinden kann auch wenn es zum arbeiten funktioniert. --> Abhilfe hier: neue Leitungen, Ports am Switch manuell drosseln oder einen kleinen 100er Switch mit in die Leitung hängen. Mit Wireshark sieht man wieiviele Pakete "verloren" gehen.

 

Den ESXi mag ich persönlich ned so direkt in der Domäne/Internet. Leider bleibt einem meist nichts anderes übrig wenn man nicht über einen eigenen physischen Zeitserver verfügt. Einigermassen bezahlbar gibts die z.B. von einem deutschen Unternehmen namens Meinberg. Die haben auch Geräte mit mehreren getrennten LAN-Ports um die verschiedenen Netze zu trennen.

 

Ansonsen gibts noch die Möglichkeit das jeweils manuell zu machen und zu schauen, dass der Host immer weniger als 5 minuten abweicht. Dann gibts eigentlich auch kein Probleme. Ausser das es der ESXi nicht so mit der Zeitumstellung hat.

Oder Du erstellst eine zweite Netzwerkkarte vom DC zum Host und schaltest die Verbindung nur ab und wann frei. Leider lässt sich ja die Windows-Firewall nicht pro Adapter konfigurieren wie das z.B. mit dem TMG möglich wäre und so das ganze sicherer wäre. Da könnte man nur das Zeitserverprotokoll/Port auf diesem Adapter freigeben.

bearbeitet 27. Dezember 2015 von Weingeist