Ноутбуки не видят интернет через контроллер домена после расширения маски. Как быть?

Question

[Данила Потягов]

Приветствую! Я совсем запутался и очень надеюсь на вашу помощь. У меня есть небольшая сеть, где 150+ ноутбуков, которые подключаются то по кабелю, то по Wi-Fi. Я недавно решил расширить сеть, чтобы всем хватило IP-адресов, но после этого начались проблемы, и я не могу разобраться, что делать.

Вот что у меня было изначально:

• Сеть была 192.168.100.1/24 (то есть маска 255.255.255.0, как я понял).
  
• Контроллер домена (он же DNS-сервер) имеет IP 192.168.100.75.
  
• DHCP настроен на роутере, он раздаёт IP-адреса устройствам.
  

Я решил расширить сеть, чтобы добавить больше адресов, и поменял маску на /23 (255.255.254.0). Теперь сеть стала 192.168.100.1–192.168.101.254. Ноутбуки подключаются к сети нормально, получают IP (например, 192.168.101.2), и интернет у них есть, если я указываю любой DNS, кроме DNS контроллера домена (192.168.100.75). Но как только я ставлю DNS 192.168.100.75, устройства перестают выходить в интернет — сидят только в локальной сети. Как быть в таком случае, что и где "покрутить" что бы всё работало нормально? Заранее спасибо

Comments

[Виктор]

У контроллера домена статический IP.... Там перенастраивали?
P.S. не очень правильное это решение расширять сеть таким образом. Лучше уж две отдельные подсети и маршрутизация. Broadcast storm еще никто не отменял)) ИМХО

[Alexey Dmitriev]

С помощью простых утилит типа nslookup нужно продиагностировать работу dns на проблемных ноутбуках и контроллере и решить её.

[Данила Потягов]

Виктор, здравствуйте. Да, Контроллер сидит на статическом 192.168.100.75. До этого задавал вопрос по поводу двух отдельных подсетей - мне указали на то, что недопустимо использовать между роутером и расширителями покрытия неуправляемые свитчи из за того, что они "мнут" VLAN пакеты.
Из за этого остался только способ с расширением маски

[Данила Потягов]

Alexey Dmitriev, в этом и загвоздка. Пинг до контроллера домена есть в 101, а вот DNS - не отвечает

[Sand]

Данила Потягов, а в безопасности днс нигде не стоит разрешение имен только из сети 192.168.100.1/24?

[Sand]

Данила Потягов, какая версия windows server?

[res2001]

Данила Потягов,

а вот DNS - не отвечает

DNS сервер может обслуживать только локальный домен, без переадресации запросов наружу. Скорее всего это и есть ваша проблема (если вообще DNS работает). Надо настроить переадресацию внешних запросов на внешние сервера. Это можно сделать либо на самом DNS сервере, либо на клиентах, задав вторичные DNS сервера из интернета.
Утилита nslookup в помощь.

[Sand]

res2001, но до расширения сети же все работало

[Alexey Dmitriev]

Данила Потягов, почему не отвечает DNS? Если вы системный администратор - какие ваши действия дальше?

[res2001]

Sand,

но до расширения сети же все работало

В вопросе этой информации не было. Значит предположим, что в DNS сервере у вас переадресация настроена.

Возможно на сервере "закончился" доступ к интренету после расширения маски и теперь DNS запросы на внешние сервера уходят не туда.
Это возможно, например, если вы забыли где-то изменить маску сети (сервер/роутер) - в этом случае теоретически сервер и роутер могли оказаться в разных подсетях.

[Данила Потягов]

Sand, проверял это, ставил "слушать на всех адресах", не дало эффекта(
Система Win Server 2019

[Данила Потягов]

Alexey Dmitriev, Проверял несколько возможных вариантов, например, создание дополнительной подсети в настройках

[Sand]

Данила Потягов, смотрели это?

[Данила Потягов]

res2001, да, до расширения маски все сидели в одной подсети 192.168.100.х
После расширения - 192.168.100.х спокойно ходит в интернет, а вот 192.168.101.х - уже не могут, ругаются на проблему с DNS

[Данила Потягов]

Sand, прочитаю через минут 50, обед сейчас)

[Akina]

Смена адреса у контроллера домена - это вообще очень болезненная операция, и там дохрена что надо учитывать и править. Простое добавление маршрутизатора обходится гораздо дешевле. Причём маршрутизатора, для контроллера внешнего - переделка обычного контроллера в мультихоум ничуть не менее болезненная операция.

[Данила Потягов]

Akina, в таком случае оставлю пока что всё, как есть, летом в период отсутствия детей плановая переустановка систем, в том числе и на контроллере домена. За это время поднатаскаю теорию, думаю лучше будет если домен будет создаваться изначально уже под широкую маску

[Ziptar]

Akina, да ладно, по большому счету в настройки зон в днс упирается. Адрес то не меняется, только маска, никуда глубоко там лезть не надо.

[Akina]

Ziptar, не убеждён, что FSMO роли отнесутся к такому изменению благожелательно... хотя раз именно адрес не меняется, может, и проскочит.

[Sand]

Данила Потягов, кстати, посмотрите правила брандмауэра ещё для днс запросов, возможно там при установке прописалась сеть

[Alexey Dmitriev]

Данила Потягов, вас пошагово надо провести или вы все-таки или начнете логически рассуждать и что-то логичное делать?
Что с nslookup блабла 127.0.0.1 на самом контроллере домена? Если работает - значит проблема сетевая, нужно идти и разбираться - файрволы смотреть, дамп траффика на DC снять.

[MVV]

Я решил расширить сеть, чтобы добавить больше адресов, и поменял маску на /23 (255.255.254.0).

Где поменяли маску? Только на роутере, или и на контроллере домена тоже?
Если на контроллере домена не поменяли - поменяйте. Если это поможет - отпишитесь: я это как ответ офромлю, а вы тогда уж, пожалуйста, его отметьте решением - может, другие с такой же, как и у вас проблемой это решение сразу найти смогут.

[Данила Потягов]

MVV, к сожалению это так не работает(. Маски и на роутере, и на контроллере и на клиентском устройстве одинаковые. Забыл отметить: пинг из 101 на контроллер домена идёт

[Данила Потягов]

Sand, уже всё проверено перепроверены, ничего не должно блокировать

[MVV]

Надо настроить переадресацию внешних запросов на внешние сервера. Это можно сделать ... либо на клиентах, задав вторичные DNS сервера из интернета.

res2001, пожалуйста, не учите неопытных людей плохому. При таком подходе можно внезапно потерять связь с доменом, и она не вернется ещё долго. Поотому что если у компьютера одиин интерфейс, то для этого интерфейса использоваться будет только один DNS сервер до тех пор, пока он отвечает, другие запрашиваться не будут. Переключение надругой будет только по факту неответа. Серверы изначально выбираются, начиная с первичного, но сам по себе ПК на первичный DNS не переключится, пока текущий отвечает.

[MVV]

Забыл отметить: пинг из 101 на контроллер домена идёт.

Данила Потягов, тогда следующий шаг - проверка nslookup:
nslookup имя.какого-нибудь.сайта IP.сервера
Если не проходит, то дело, скорее всего, в настройках брандмауэра на КД - попробуйте для теста разрешить на нем весь трафик.

Answer 1

[kimster78]

маска подсети /16 (255.255.0.0) и не забыть чтобы пула адресов dhcp хватало на все устройства. Контроллер домена также должен видеть обе подсети

Comments

[Данила Потягов]

Почему 16, а не 23 или 22 например?