Как восстановить работу RemoteApp через GPO?

Question

[mandfilson]

И так, у меня есть:
- samba-4.16.3 в роли active directory domain controller с функциональным уровнем леса и домена Windows 2008 R2
- windows server 2012r2 standart ver 6.3 build 9600 для использования remoteapps (Роли:
-- посредник подключений к удаленному рабочему столу
-- узел сеансов удаленных рабочих столов
-- шлюз удаленных рабочих столов
-- веб-доступ к удаленным рабочим столам )

- windows server 2022 standart build 21H2 в роли сервера лицензий
- windows server 2022 standart build 21H2 в роли сервера перемещаемых профилей.

Публикация приложений для доменных пользователей происходит через групповую политику.
Сертификаты на сервере remoteapps самоподписанные, срок окончания в 2025г и распространяются так же через gpo.

Раньше всё работало, но на данный момент проблема в том, что при применении групповых политик я получаю на клиентах(windows 10 pro 22H2) в event viewer:

Event 1014 RemoteApp and Desktop Connections:
Учетные данные, использованные для подключения к , не сработали.
Имя подключения:
URL-адрес: https://srv-apps.domain.local/rdweb/feed
Код ошибки: 0x8007052E, 0x0


На сервере srv-apps:

Event 1026 RemoteApp and Desktop Connections:
Установка подключения по умолчанию отменена. Подключение по умолчанию невозможно использовать в системе, входящей в развертывание служб удаленных рабочих столов.
Пользователь: DOMAIN\Администратор

Если добавлять "https://srv-apps.domain.local/rdweb/feed" руками через панель управления "Доступ к удаленным приложениям RemoteApp и рабочим столам" всё добавляется и приложения запускаются.

С какими либо действиям эту проблему связать немогу.

Клиенты и серверы в домене.
Область распространения GPO Authentificated Users, размещение domain.local
NTP на клиентах применяется.

Очень много форумов перечитал и советов перепробовал, ничего не помогает.
Подскажите пожалуйста куда копать.

Comments

[Quqas]

gpo не причём

нет доверия и передачи учётных данных

на чистом профиле когда через панель управления руками добавляешь, пароль спрашивает? - вот туда и копай

[Quqas]

Конфигурация компьютера (включено)
Политики
Административные шаблоны

Система/Передача учетных данных

Разрешить передачу учетных данных, установленных по умолчанию Включено
Добавить серверы в список:
TERMSRV/*

[Quqas]

Компоненты Windows/Службы удаленных рабочих столов/Подключения к удаленным рабочим столам и приложениям RemoteApp

Указать URL-адрес подключения по умолчанию Включено
URL-адрес подключения по умолчанию: https://*.local/RDWeb/Feed/WebFeed.aspx

меня "учили" .aspx добавлять

[mandfilson]

Quqas, с доверием клиентов к домену действительно есть проблемы, но очень странные. Ни одна новая клиентская машина не может установить доверительные отношения с доменом и старые машины тоже потеряли дов. отношения. При этом под доменными пользователями спокойно захожу и на новых и на старых машинах, хотя при отсутствии доверительных не должен. Поэтому подумал, что доверительные отношения не влияют и на remoteapp.

Пытался восстанавливать доверительные отношения разными способами, но тщетно...
Из под локального админа клиента запускал PowerShell с админскими правами и пытался восстановить через Test-ComputerChannel -Verbose -Repair -Credential(Get-Credential).
Так же пробовал:
Reset-ComputerMachinePassword -Server *** -Credential domain\***
nltest.exe /sc_change_pwd:***
Ну и конечно вывод из домена и повторный ввод в домен тоже пробовал.


Тест домен контролера выдал:

spoiler

dcdiag /n:domain.local /e /v /q /u:domain\Администратор /p:***
Различающееся имя домена - DC=domain,DC=local.
Ресурс SysVol не готов. Это может стать причиной того, что DC не будет объявлять себя как DC для netlogon после выполнения dcpromo.
Проблемы с репликацией FRS SysVol могут также стать причиной проблем групповой политики. Проверьте журнал событий FRS для данного DC.
......................... DC - не пройдена проверка SysVolCheck
Не удалось открыть службу EventSystem в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу RpcSs в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу NTDS в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу DnsCache в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу NtFrs в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу IsmServ в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу kdc в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу SamSs в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу LanmanServer в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу LanmanWorkstation в DC, ошибка 0x424 "Указанная служба не установлена."
Не удалось открыть службу w32time в DC, ошибка 0x424 "Указанная служба не установлена."
Недопустимый тип службы: NETLOGON на DC, текущее значение - WIN32_OWN_PROCESS, ожидаемое значение - WIN32_SHARE_PROCESS
Неверный тип запуска службы: NETLOGON на DC, текущее значение - DEMAND_START, ожидаемое значение - AUTO_START
......................... DC - не пройдена проверка Services
Проблемы у некоторых объектов, относящихся к DC DC:
[1] Проблема: Отсутствует ожидаемое значение
Базовый объект: CN=NTDS Settings,CN=DC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=local
Описание базового объекта: "Объект DSA"
Имя атрибута объекта значения: serverReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862

[1] Проблема: Отсутствует ожидаемое значение
Базовый объект: CN=DC,OU=Domain Controllers,DC=domain,DC=local
Описание базового объекта: "Объект учетной записи DC"
Имя атрибута объекта значения: frsComputerReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862

......................... DC - не пройдена проверка VerifyReferences

При этом с любой машины могу зайти на sysvol через \\domain.local
Про проблемы с репликацией FRS sysvol тоже не понял. У нас всего один dc и реплицировать его не с кем. Когда-то до моего устройства на работу тут был еще один dc, но он был удален и упоминаний о нем нигде не видел.

[mandfilson]

Quqas, пробовал, не помогло

[mandfilson]

Quqas, да, политики эти есть и даже больше.

[Quqas]

mandfilson, ну всё что знал я сказал

- samba-4.16.3 в роли active

при "живых"

windows server 2022 standart build 21H2 в роли

? оно точно того стОит?

+хоть уже давно (даже не прошлом году) выходили обновы ломающие передачу уч.данных, но не прям чтоб весь AD (щас уж не вспомнить какое, но суть что с семёрок с кашерными кредами всё равно посылали серваки на которые те обновы влезли) - хотя в случае с самбой всё может быть

[mandfilson]

Quqas, так повелось в компании еще до меня.
Про обновы ломающие видел, но это вроде было около 1-2 года назад, сейчас MS уже вроде всё это починили. По крайней мере тех KB у себя не увидел.
Есть идеи, что случилось с доменом?

[Quqas]

mandfilson, там не то чтобы "починили" а навсегда отключили старые способы передачи и оставили которые семёры не могут(+давали полгода в виде ключа реестра но и его потом убрали). по крайней мере про ту обнову что я.

а самбу я и двенадцатиметровой палкой не трогал. и т.н. бох миловал, DC и AD не помирали - так что идей нет

но причину смерти remoteapp ты теперь знаешь

[Quqas]

mandfilson, единственная идея разверни какой-нибудь 1903\20h1 десяту и не обновляя введи в домен и сравни

если доверие родится - значит в несовместимости самбы с m$

[mandfilson]

Quqas, пробовал ставить win 10 старого билда и доверительные отношения там true, но при обновлении они слетают. Обновления залочил, но проблема в том, что даже с доверительными отношениями политика remoteapp не добавляет url в "Подключения к удаленным рабочим столам и приложениям RemoteApp"

[Quqas]

mandfilson, ну добавляться то должно - с самбы же лезет - а вот само подключение может и не работать rdp сервак "не той системы"

а может и не добавляется потому что rdp сервак принимает участие

откати 2012 на х.з. какое число. точно помню что тот kb можно было удалить - но там эти изменения лезли в составе ежемесячных

так что кури самбу как её обновить до новых m$ требований в плане пересылки кредов

[Quqas]

у меня с эти remoteapp другая трабла - как заставить клиента принудительно обновить их список (при неизменном url)
бывает список изменишь\добавишь а клиенты когда в течении дня узнают, а когда месяцами в душе про-то не знают