Как вылечить DNS сервер?

Question

[Игорь Кривинцов]

Здравствуйте, прошу помощи в таком вопросе, есть офис в Городе А и офис в городе Б, между ними настроен IPSEC туннель, в Городе А установлены сервера HV3E и HV4E на них развернуты виртуальные машины (Терминал, 1С , AD и прочие) эти сервера находятся в домене hvd.local, контроллер домена так же развернут на вирт. машине. Есть город Б в котором так же есть сервера хосты которых тоже находятся в домене HVD.Local , второй контроллер тоже развернут на вирт. машине, определенное время все было нормально, работала репликация между серверами HVD3E,HVD4E и HV1V,HV2V потом загнулся dns сервер в городе Б, не открывается оснастка службы, якобы нет прав на запуск, в интернете находил статьи по поводу этой ошибки, сделал рекомендации, но не в этом дело. Пытался понизить второй AD домена hvd.local но система не дает это сделать ссылаясь на недоступность основного, пытался поднять новый второй AD но при вводе учетных данных для ввода нового сервера в домен система ругается на неверный логин и пароль, хотя 100% верный, (Загнал сервер в домен с другой учетки, но уверен что ввожу верно, сменил пароль на простой в каталоге AD ) но повысить роль до AD не удалось, пинги есть между серверами. Не знаю с чего начать , может что то не работает на первом AD? Реплики не работают по причине отсутствия DNS на втором AD домена hvd.local
Все виртуальные машины Терминал, 1С сервер они находятся в другом домене, есть домен для Хостов и домен для вирт машин.

Команда nslookup со втрого контроллера домена hvd

ip address первого контроллера 192.168.1.15

C:\Users\i.krivintsov>nslookup dc1hvd.hvd.local
╤хЁтхЁ: UnKnown
Address: 192.168.1.15

*** UnKnown не удалось найти dc1hvd.hvd.local: Non-existent domain

Comments

[20ivs]

уберите в спойлер скрины.

[Игорь Кривинцов]

20ivs, Я не в курсе как это сделать и зачем убирать?

Answer 1

[20ivs]

изначально неправильная конфигурация. в городе Б у вас должен быть дочерний домен в отдельной подсети и в отдельном сайте.
например, ЦО - hvd.local, Default-first-site, subnet 10.10.10.0/24. город Б - B.hvd.local, second-site, subnet 10.10.11.0/24.

в данном случае проверяйте с контроллера домена nslookup <контроллер домена города Б>
от этого уже будем дальше плясать.
предполагаю, что в маршрутизации ничего не менялось, иначе начинать надо с этого.

Comments

[Игорь Кривинцов]

Дочерняя сеть есть , Город А 192.168.1.0/24 Город Б 10.8.0.0/24

[Игорь Кривинцов]

Эта команда с первого контроллера,
C:\Users\i.krivintsov>nslookup dc2hvd.hvd.local
╤хЁтхЁ: UnKnown
Address: 192.168.1.15

╚ь : dc2hvd.hvd.local
Address: 10.8.0.6

C:\Users\i.krivintsov>
Вроде его он находит, видит второй контроллер

[20ivs]

Игорь Кривинцов, это прописано в AD центральном? подсеть и сайт созданы?

[20ivs]

Игорь Кривинцов, разрешает имя, а не видит. но это уже хорошо.
пинг с первого на второй есть? а так же обратно со второго на первый, но не по имени, а по адресу.

[Игорь Кривинцов]

20ivs,
В поле subnet ничего нет

[Игорь Кривинцов]

20ivs, пинги имеются

[Игорь Кривинцов]

20ivs, Я так понимаю надо в поле sabnet прописать мои сети, сеть города А и Б ?

[Игорь Кривинцов]

20ivs,Такая картина при попытке репликации

[20ivs]

Игорь Кривинцов, пока не заморачивайтесь, надо сначала наладить dns на втором.
а вообще потом обязательно сделать это:
создать сайт. указать, что в этом сайте контроллер домена тот второй. создать подсеть, указать что она во втором сайте.

а пока покажите настройки сетевого адаптера на втором контроллере, а именно кто указан днс-сервером у него.

[Игорь Кривинцов]

20ivs,
Ethernet adapter Ethernet:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Сетевой адаптер Hyper-V (Майкро
Физический адрес. . . . . . . . . : 00-15-5D-00-0D-02
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 10.8.0.6(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 10.8.0.1
DNS-серверы. . . . . . . . . . . : 192.168.1.15
10.8.0.6
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{DDF1E02E-51B3-40AE-9B6E-568A4AA62B1F}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP #2
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

C:\Users\i.krivintsov>

[20ivs]

Игорь Кривинцов, в оснастке DNS на втором в зонах прямого просмотра есть зона с именем hvd.local?

[Игорь Кривинцов]

20ivs, не могу открыть оснастку, он пишет что не удалось подкл к серверу, доступ отказан, раньше заходило, прав доступа Администратор домена

[20ivs]

Игорь Кривинцов, а nslookup hvd.local что говорит на втором? есть пользователь с правами созданный непосредственно на этом КД? ПК и пользователи в сети Б авторизуются нормально?

[Игорь Кривинцов]

Это команда со второго,
C:\Users\i.krivintsov>nslookup hvdc1.hvd.local
╤хЁтхЁ: UnKnown
Address: 192.168.1.15

╚ь : hvdc1.hvd.local
Address: 192.168.1.15
Такой момент , когда я пытаюсь сделать репликацию в оснастке сайты и службы, он ругается на время, между городом А и Б есть разница во времени, на 1 час. Пользователь в домене hvd.local только один мой, сейчас для теста создал другого на втором AD, вошел на сервер AD , норм

[Игорь Кривинцов]

20ivs, Время исправил, но реплика не идет, ошибка доступа

[20ivs]

Игорь Кривинцов, так, стоп.
я просил nslookup hvd.local, но вы вместо этого сделали nslookup hvdc1.hvd.local и оно заработало внезапно?

посмотрите на обоих netdom query fsmo

когда я пытаюсь сделать репликацию в оснастке сайты и службы, он ругается на время, между городом А и Б есть разница во времени, на 1 час.

не удивительно, потому что второй у вас не является дочерним. он считает себя вторым КД в hvd.local, а значит и время должно совпадать.
пользователем с правами на втором открывается оснастка DNS?
сервер не в продакшене?
если нет, то понижайте его роль, после этого удаляйте роли AD & DNS, после перезагрузки снова добавляйте роли, но при выборе режима выбирайте "дочерний" и надо будет указать имя дочернего домена - городБ.hvd.local или как вам удобнее.

к этому моменту хорошо бы уже создать сайт и подсеть для него на основном КД.

[Игорь Кривинцов]

nslookup hvdc1.hvd.local результат этой команды всегда был такой какой я присылал, Сервер в продакшене , только он используется только для нужд хостов виртуальных машин, а для пользователей у меня другой домен, с ним все в порядке.
С новым пользователем все таки не получается открыть оснастку, ошибка такая же. Службу DNS сервер так же не получается запустить с имени другой учетки, так же ссылается на доступ.

[Игорь Кривинцов]

20ivs, Не могу понизить сервер так как ругается на это,


Пробывал под разными учетками, все Администраторы домена

[20ivs]

Игорь Кривинцов, netdom query fsmo что говорит на обоих?

в таком случае можно попробовать немного костыльное решение для того, чтобы хотябы авторизоваться толком на втором. подсунуть ему днс-запись, указывающую на первый. либо в хостс прописать, либо в маршрутизаторе, через который он ходит - dc1hvd.hvd.local 192.168.1.15. если получится авторизоваться, то после этого переконфигурировать его как я предложил выше.

[Игорь Кривинцов]

20ivs, На втором вывод такой
C:\Users\i.krivintsov>netdom query fsmo
Хозяин схемы hvdc1.hvd.local
Хозяин именования доменов hvdc1.hvd.local
PDC hvdc1.hvd.local
Диспетчер пула RID hvdc1.hvd.local
Хозяин инфраструктуры hvdc1.hvd.local
Команда выполнена успешно.

На первом такой

C:\Users\i.krivintsov>netdom query fsmo
Хозяин схемы hvdc1.hvd.local
Хозяин именования доменов hvdc1.hvd.local
PDC hvdc1.hvd.local
Диспетчер пула RID hvdc1.hvd.local
Хозяин инфраструктуры hvdc1.hvd.local
Команда выполнена успешно.

[20ivs]

Игорь Кривинцов, ок. тут все правильно и это подтверждает, что он считает себя соседом первого.

пробуем подсунуть запись - dc1hvd.hvd.local 192.168.1.15
hosts или маршрутизатор.

[Игорь Кривинцов]

20ivs, Попробовал, но увы но не получается, указал в файле хост , перезапустил сервер , долго заходил в сервер но не получается запустить оснастку dns... пишет этот сервер не доступен

[20ivs]

Игорь Кривинцов, авторизоваться под доменным при выполнении чего-либо так же не дает? принудительная репликация без изменений?

[Игорь Кривинцов]

20ivs, Добрый день, все те же результаты, отказано в доступе, и реплика и запуск оснастки DNS

[20ivs]

Игорь Кривинцов, я бы поднял новый КД как положено, а от этого избавился бы.

[Игорь Кривинцов]

20ivs, Думал об этом, но одна проблема, не передали записи локальных админов от серверов, из домена то их выведу а вот зайти не зайду.Надо что то думать, как админов новых создать

[Игорь Кривинцов]

20ivs, По этой статейке все сделать, как думаете? вроде все правильно написано https://serveradmin.ru/nastroyka-kontrollerov-dome...

[20ivs]

Игорь Кривинцов, ИМХО, очень костыльная статья, особенно про добавление в hosts улыбнуло. кроме того, у вас только что была схема как описано в статье и результат уже вам известен.
ИМХО, опять же, но нужно делать дочерний. так он будет хоть как-то автономным и при сбоях сможете разрулить ситуацию и при этом без потери функционала управления из центра. кроме того, это официальный путь.

по шагам в статье - всё так же, кроме прописывания в файл hosts и на этапе

Когда будет запущен Мастер настройки доменных служб Active Directory, выбираем там

второй пункт - новый домен в существующий лес.
how to add child and tree domains to an existing W...

[Игорь Кривинцов]

20ivs, Все делаю как Вы сказали, почему то зависает процесс установки на данном моменте, 3 часа прошло а с места не сдвинулось, в чем может быть дело?

[20ivs]

Игорь Кривинцов, на данный момент есть подвижки?

[Игорь Кривинцов]

20ivs, На том же месте, все реплика происходит, есть утилита которая показывает текущие реплики, от микрософта, так Я ее скачал но реплик он не видит, видимо он и не делает их. Хотя в Городе А в сайтах новый сервер добавляется в сайт, который я указал на стадии добавления дочернего домена

[20ivs]

Игорь Кривинцов, что-то у вас с туннелем не то, мне кажется. диагностировали?

[Игорь Кривинцов]

20ivs, Пинги ходят, файлы копируются, порт днс открыт, telnet ом пробовал 53 порт, как диагностировать?

[20ivs]

Игорь Кривинцов, какое оборудование на обоих концах туннеля? телнет на 389 с зависающего на основной КД нормально отрабатывает?

[Игорь Кривинцов]

20ivs, На одном конце стоит Kerio на другом Mikrotik , 389 порт на первый контроллер отрабатывает нормально. Обратно конечно не срабатывает.

[20ivs]

Игорь Кривинцов, в Микроте есть бридж? покажите вывод
interface bridge settings print

[Игорь Кривинцов]

20ivs, interface bridge settings print
use-ip-firewall: no
use-ip-firewall-for-vlan: no
use-ip-firewall-for-pppoe: no
allow-fast-path: yes
bridge-fast-path-active: yes
bridge-fast-path-packets: 0
bridge-fast-path-bytes: 0

[20ivs]

Игорь Кривинцов, так-то порядок.
давайте попробуем трассировку с обоих концов. будет ли разница в маршруте.
а еще, есть возможность сделать bypass в туннеле? в Микроте сделать легко, не знаю как это в керио, возможно ли.

[Игорь Кривинцов]

20ivs,
В трасировке не все одинаково, если от сервера который хочу ввести дочерний домен сделать трасировку то вот результат

Обратно такой


Фотки почему то разворачивает, прошу прощения за вывод такой
192.168.1.7 это шлюз город А
10.8.0.1 шлюз город Б.

[KnyazeVV]

ну и чем всё кончилось ?