Почему отвалился доступ по RDP при изменении маски сети?

Question

[Yamazaki]

Помогите, пожалуйста, с проблемой.
Была задача изменить маску сети (домен, AD) с /24 на /23.
Когда я сменил адрес сервера (DC, Win Server 2012) с 192.168.1.254 255.255.255.0 на 192.168.1.254 255.255.254.0 (адрес моего компьютера был 192.168.1.100/23) перестало работать подключение к удаленному рабочему столу сервера, и оно восстановилось только, когда я сменил на сервере маску на прежнюю.
Сервер пинговался хоть по IP, хоть по имени, когда он был с маской /23.
До изменения маски я нормально подключался через RDP с компа с адресом 192.168.1.100/23 к серверу с 192.168.1.250/24.
На сервере настройка RDP выставлена в "Разрешить подключения к рабочему столу с проверкой подлинности на уровне сети".
Этот сервер является контроллером домена (одним из двух).
Можно ли вообще менять маску в сети с AD?
Пример того что я хотел получить: community.spiceworks.com/topic/287993-supernet-whe...

Comments

[Yamazaki]

Это KIS что-то блочит своим сетевым экраном. Если я его отключаю, то удаленные подключения восстанавливаются, DNS-службы обоих DC видят друг друга и т.п. Наверное, какая-то настройка по непропусканию пакетов из других сетей.

[Андрей]

что такое KIS?

[Yamazaki]

Андрей: Kaspersky Internet Security

Answer 1

[Андрей]

У Вас очевидно Узел сеансов удаленных рабочих столов на втором сервере, а у него как я понял маска осталась /24 и соответственно первый сервер не мог провести проверку подлинности пользователя. Так как не получил отклика от второго сервера.

Comments

[Yamazaki]

Спасибо, Андрей.
Буду искать информацию про этот узел сеансов.
Но почему он не получает отклика от сервера с адресом 192.168.1.252/24, когда сам имеет 192.168.1.250/23? Хоть сети и разные, но что касается адресов 192.168.1.Х - они же доступны друг для друга пусть и имеют разные маски?
Как мне ответили на одном форуме:
Вопрос: Компьютеры с адресами 192.168.1.50/24 и 192.168.1.100/23 находятся в разных сетях и поэтому не могут взаимодействовать без маршрутизатора, ведь так?
Ответ: Могут. Так как оба адреса входят в один и тот же диапазон внутренней подсети (даже при том, что в настройках разные маски Very Happy ). У Вас не смогут общаться напрямую компы со старыми настройками с новым поддиапазоном 192.168.0.0/24, входящим в 192.168.0.0/23

Еще один вопрос - есть ли какие-то преграды для использования суперсети /23 в доменной сети? Может AD не сможет пользователей авторизовать или DNS будет недоступен?

[Андрей]

Yamazaki: как таковых преград нет. Но при смене на /23 надо подсеть менять на ВСЕХ AD со статическими адресами. На technet была когда-то тема. Это оф ответ микрософт. Поидее они должны видеть друг друга, но в реальности нет ((

[Yamazaki]

Андрей: "надо подсеть менять на ВСЕХ AD" в смысле на всех компьютерах-членах домена не должно быть адресов с маской /24?

[Андрей]

Yamazaki: да. На тех где статика вручную, где по dhcp пересоздавать пул. При чем именно пересоздавать.

[Yamazaki]

Андрей: Да, с DHCP разобрался.
Я выяснил, что на ни на одном сервере в сети не установлена роль "Службы удаленных рабочих столов".

[Yamazaki]

Yamazaki: А сейчас я нашел диспетчер терминалов на файловом сервере с Windows 2003 R2.
Спасибо за ответы. Буду дальше тестить.

[Андрей]

Yamazaki: ухх.. 2003. Надо было сразу упомянуть об этом :) У Микрософта терминология постоянно меняется. Вобщем меняйте маску везде и будет Вам счастье.

[Yamazaki]

Андрей: Андрей: Я понял, что зря не указал в своем вопросе, что сервер, который я там упоминаю - это контроллер домена с WinServer2012.
А "Диспетчер терминалов" я обнаружил на файловом сервере с WinServer2003R2. Но роль "Служба удаленных рабочих столов" или роль "сервер терминалов" не установлены нигде.
Я не могу найти сервер терминалов в сети, т.е. мне непонятно кто отвечает за лицензии и удаленные подключения. Каждый из серверов в отдельности получается?
А в вашем ответе: "первый сервер не мог провести проверку подлинности пользователя. Так как не получил отклика от второго сервера" предполагается, что есть второй сервер, выступающий сервером этих удаленных подключений (TS или RDS). Но раз я такого не нашел, тогда непонятно - он должен был увидеть мой компьютер, находясь в сети /23.
Или есть еще какие-то зависимости от других серверов, о которых я не подумал?

[Андрей]

Yamazaki: да, имел ввиду я именно это. Так как у Вас включено "Разрешить подключения к рабочему столу с проверкой подлинности на уровне сети". "проверкой подлинности на уровне сети" занимается как раз "Узел сеансов удаленных рабочих столов" в терминологии 2008 и 2012, в 2003 это должен быть "сервер лицензирования служб терминалов" или как-то так. Вообще это может быть и сам узел (без всяких доп ролей разрешается если память не изменяет до 3х коннектов), но поидее DC. Но "Выборы" все равно выиграет 2012 по старшинству так сказать. Как я уже говорил пока у Вас все сервера не окажутся в /23 подсети работать не будет. Это "фича" windows server.

[Андрей]

Yamazaki: поройте technet на предмет "Узел сеансов удаленных рабочих столов" и суперсетей /23. Я windows server не занимаюсь уже несколько лет, так что пишу это все по памяти и навскидку. Но на технете была масса тем по этому вопросу.