Как восстановить сетевой путь к контроллеру домена?

Question

[CyberCraft]

Доброго времени суток, уважаемые форумчане. То что творится с контроллером домена, иначе как мистикой не назовешь. Должен отметить, что конфигурация настраивалась более 5 лет назад, все это время работала с перебоями да кое-как, с админами текучка, в общем все по классике.

Конфигурация

Физически имеется два сервера HP с установленными ESXi 5.0, на которых развернуты виртуальные машины - различные сервера и службы (inet server squid, dc, fs, exchange, kas, wsus, 1C). Datastore HP3000 связаны с серверами, насколько я могу судить, посредством fibrechannel.

Имеется внешний домен avers1.ru и статический публичный адрес: 195.211.65.130, настроенный на интернет шлюзе Dlink DFL800 (если кто подскажет мануал на русском, буду благодарен). Где-то в сети вертится корпоративный сайт.

Локальную сеть предприятия обслуживают три cisco SG300-28, используются для маршрутизации лс по отделам. Локальный адрес сети 192.168.0, все находится в одной подсети. Все серверы подняты на виртуальных машинах, за исключением KAS (kasperksy security centre administration server) и vShphere client сервера на отдельной машине. Разумеется, поднята Active Directory, DHCP, DNS, файловые службы и служба сертификации - из ролей это все.
Контроллер домена ELZ-server3 (192.168.0.5). Внутренний домен имеет то же имя avers1.ru, на контроллере домена поднят DNS, который обслуживает зону avers1.ru (настроить форвардинг с DNS провайдера я так и не смог, но обо всем по порядку).

Все эти хозтовары достались мне в наследство, а дареному коню... Ну, вы знаете...

Внутри сети сначала отвалился доступ к корпоративному сайту, вместо него открывалась начальная страница IIS (где еще здравствуйте на всех языках), при этом из глобала сайт оставался доступным. Незадолго после этого пользователи начали жаловаться на отсутствие рассылки от партнера (наш почтовый сервер блокировал рассылку, due security reason, как он сам заявил). В логах ничего...
Клиент outlook стал работать только внутри сети, с домашнего компьютера настроить не смог, ругался на отсутствие доступа к почтовому серверу. Telnet на 25 порт проходит как изнутри, так и снаружи, могу обменяться helo. В общем начал копать DNS и AD.

Сейчас в лесу avers1.ru один контроллер домена ELZ-server3, владеет всеми ролями fsmo. Был еще другой, давно мертвый ELZ-server12 (192.168.0.6) резервный контроллер. Что он мертвый я понял спустя адских два дня изучения ошибок dcdiag, ошибки с репликацией я так и не победил, в конце концов руками удалил все о elz-server12 (ссылки ad, записи служб из dns) и благополучно его отключил.
На клиентских машинах начал отваливаться доступ к пространству имен public, SMB все время происходит по каким-то колдовским алгоритмам (например запрещен по ip, но подключается по fqdn, потом пропадает fqdn, работает только по ip и т.д.), Перенастроил некоторые политики, но не все клиентские машины смогли ее реплицировать.

Оказалось, что избавление от ошибок dcdiag и следование рекомендациям проверки состояния ролей ничего не решило, а напротив - клиенты потеряли связь с контроллером домена. Зарегистрированные пользователи авторизуются без проблем. Однако завести в домен никого не получается - невозможно подключиться к контроллеру домена, не найден сетевой путь.
В глобал перестала уходить корпоративная почта: внутри домена письма ходили, извне приходили, но не уходили. Если быть совсем точным, то отправлялись, но не доходили.

К контроллеру elz-server3 подключаюсь по удаленке через TeamViewer или через vSphere client с локального компа, адреса пингуются в обе стороны, разрешение имен работает. Однако клиенты не видят контроллер в сетевом окружении, при попытке подключиться через SMB так же не найден сетевой путь.

ipconfig /all с сервера

ipconfig /all
Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : ELZ-SERVER3
Основной DNS-суффикс . . . . . . : avers1.ru
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : avers1.ru

Ethernet adapter Подключение по локальной сети:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Сетевое подключение Intel(R) PRO/1000 MT
Физический адрес. . . . . . . . . : 00-0C-29-CD-84-B8
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.0.5(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.0.1
DNS-серверы. . . . . . . . . . . : 192.168.0.5
Основной WINS-сервер. . . . . . . : 192.168.0.5
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{147E2079-5BFD-41E3-B56E-413A717FE9BD}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

Туннельный адаптер Teredo Tunneling Pseudo-Interface:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

nslookup с сервера

nslookup avers1.ru

╤хЁтхЁ: elz-server3.avers1.ru
Address: 192.168.0.5

╚ь : avers1.ru
Address: 192.168.0.5

dcdiag с сервера

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: OFFICE\ELZ-SERVER3
Starting test: Connectivity
......................... ELZ-SERVER3 passed test Connectivity

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: OFFICE\ELZ-SERVER3
Starting test: Connectivity
......................... ELZ-SERVER3 passed test Connectivity

Doing primary tests

Testing server: OFFICE\ELZ-SERVER3
Starting test: Replications
......................... ELZ-SERVER3 passed test Replications
Starting test: NCSecDesc
......................... ELZ-SERVER3 passed test NCSecDesc
Starting test: NetLogons
......................... ELZ-SERVER3 passed test NetLogons
Starting test: Advertising
......................... ELZ-SERVER3 passed test Advertising
Starting test: KnowsOfRoleHolders
......................... ELZ-SERVER3 passed test KnowsOfRoleHolders
Starting test: RidManager
......................... ELZ-SERVER3 passed test RidManager
Starting test: MachineAccount
......................... ELZ-SERVER3 passed test MachineAccount
Starting test: Services
......................... ELZ-SERVER3 passed test Services
Starting test: ObjectsReplicated
......................... ELZ-SERVER3 passed test ObjectsReplicated
Starting test: frssysvol
......................... ELZ-SERVER3 passed test frssysvol
Starting test: frsevent
......................... ELZ-SERVER3 passed test frsevent
Starting test: kccevent
......................... ELZ-SERVER3 passed test kccevent
Starting test: systemlog
......................... ELZ-SERVER3 passed test systemlog
Starting test: VerifyReferences
......................... ELZ-SERVER3 passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : avers1
Starting test: CrossRefValidation
......................... avers1 passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... avers1 passed test CheckSDRefDom

Running enterprise tests on : avers1.ru
Starting test: Intersite
......................... avers1.ru passed test Intersite
Starting test: FsmoCheck
......................... avers1.ru passed test FsmoCheck

ping до клиента

Обмен пакетами с servbackup.avers1.ru [192.168.0.33] с 32 байтами данных:
Ответ от 192.168.0.33: число байт=32 время=1мс TTL=128
Ответ от 192.168.0.33: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.33: число байт=32 время=1мс TTL=128
Ответ от 192.168.0.33: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.0.33:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)

Comments

[CyberCraft]

ipconfig клиента

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : SERVBACKUP
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет

Ethernet adapter Подключение по локальной сети:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : TeamViewer VPN Adapter
Физический адрес. . . . . . . . . : 00-FF-30-67-26-35
DHCP включен. . . . . . . . . . . : Да
Автонастройка включена. . . . . . : Да

Ethernet adapter Ethernet 2:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Intel(R) PRO/1000 PL сетевое подключение
Физический адрес. . . . . . . . . : 00-30-48-D3-16-E9
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::f08e:c7c7:5081:e263%13(Основной)
IPv4-адрес. . . . . . . . . . . . : 192.168.0.33(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.0.1
IAID DHCPv6 . . . . . . . . . . . : 369111112
DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-23-16-DC-3A-00-30-48-D3-16-E8
DNS-серверы. . . . . . . . . . . : 192.168.0.5
192.168.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{ABF15C01-3583-4C89-BFC3-FC8DD2F79CCB}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

Туннельный адаптер isatap.{30672635-23E2-48BE-A6D1-94A03B09A4F4}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP #2
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

nslookup с клиента

╤хЁтхЁ: elz-server3.avers1.ru
Address: 192.168.0.5

╚ь : avers1.ru
Address: 192.168.0.5

ping

Обмен пакетами с avers1.ru [192.168.0.5] с 32 байтами данных:
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.0.5:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

Обмен пакетами с elz-server3.avers1.ru [192.168.0.5] с 32 байтами данных:
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128
Ответ от 192.168.0.5: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.0.5:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсе

Прошу Вашей помощи, совета, мотивации, критики, или чего угодно, что поможет восстановить работу ad и почтового сервера, ибо коллапс, товарищи, еще пару дней и меня употребят))

Кстати, продолжая тему мистике, я скоро отдельный блог заведу об этом, - как я уже говорил, сервера на виртуальных машинах. Сегодня отвалился адаптер на почтовом сервере, виртуальная машина сообщает мне о том, что сетевой кабель не подключен, пинга, разумеется, нет в обе стороны. Удалил адаптер из конфига виртуальной машины в vSphere, новый не могу добавить (port N/A, свитч не видит). Это лечится?

[Сергей]

Первым делом выпилить 192.168.0.1 из DNS. Dns только ДЦ в доменной сети

[Ltonid]

А на чем DC? Так бывает, что из-за виртуализации виртуалка меняет тип сети (актуально для винды) с доменной на домашнюю. В том числе и на домен котроллере, если это вовремя не попаравить, то начинается веселье подобно вашему.

Лечить довольно просто. Вырубить все зависимые виртуалки, путем ребута DC восстановить чтобы на нем отображалась доменная сеть. DCdiag проанализировать и исправить все ошибки, если не выходит, то создать резервный домен контроллер и перенести роли, только когда исчезнут ошибки включать зависимые машины.

[CyberCraft]

Спасибо! Видимо, это единственное нормальное решение...

Answer 1

[maddimas]

Боюсь, тут вам не помогут. Слишком много треша. Надо ехать и разбираться на месте.

Answer 2

[Руслан Федосеев]

наймите админа. На фрилансе, или поищите по конторам, которые занимаются администрированием. Вам сеть надо сначала правильно спроектировать, потом настроить. Боюсь с нуля (