Jump to content
Sign in to follow this  
weimer

Hinzufügen eines XP Clients zur Domain nicht möglich

Recommended Posts

Hallo,

 

ich stehe mal wieder vor einem Rätsel, dass mich verzweifeln lässt.

 

Ausgangssituation:

W2k Server als Domaincontroller mit AD eingerichtet, läuft stabil mit 8 weiteren XP-Pro Clients, die alle Mitglied der Domäne sind. Keine verwirrenden GPOs eingerichtet, keine Fehlermeldungen im log.

 

Letzte Woche hat sich ein Client verabschiedet, also neuen Rechner ran, XP Pro installiert und versucht, wie immer zur Domäne hinzuzufügen.

 

Beim Hinzufügen bekomme ich jetzt am Client folgende Fehlermeldung:

 

Beim Versuch, der Domäne "xyz" beizutreten ist folgender Fehler aufgetreten:

Der angegebene Server kann den angeforderten Vorgang nicht ausführen

 

Kein Eintrag im Eventlog (weder beim Client, noch beim Server).

 

DNS läuft, Client ist im AD im Container "Computer" angelegt, nach der Aktion ist regelmäßig der Eintrag deaktiviert.

 

Ich habe nur feste IPs, keinen DHCP.

 

Namensauflösung (ping, nslookup) funktioniert in beide Richtungen hervorragend.

 

 

Ich bin jetzt langsam echt am Verzweifeln, denn ehrlich gesagt habe ich keine große Lust, den Client nochmal neu zu installieren (ist ja grad neu)...

 

Ich habe schon google und die Suche bemüht, doch alle dort gegebenen Ratschläge haben nicht wirklich was gebracht.

 

Weiß jemand weiter?? zu Hülf! :)

 

 

Liebe Grüße

 

weimer

Share this post


Link to post

Soweit ich dich verstehe hast du den Client neu aufgesetzt, aber der Computeraccount im AD ist noch vorhanden. Darüber wirst du ohne Tools den PC nicht wieder reinbekommen, weil die SID eine andere ist.

 

Um den sicheren Kanal zwischen Server und Client erneut auszuhandeln würde ich einfach den Account aus dem AD löschen/rücksetzen und dann erst versuchen den Client in die Domäne einzubinden.

Share this post


Link to post
Soweit ich dich verstehe hast du den Client neu aufgesetzt, aber der Computeraccount im AD ist noch vorhanden. Darüber wirst du ohne Tools den PC nicht wieder reinbekommen, weil die SID eine andere ist.

 

Um den sicheren Kanal zwischen Server und Client erneut auszuhandeln würde ich einfach den Account aus dem AD löschen/rücksetzen und dann erst versuchen den Client in die Domäne einzubinden.

Jo, würde ich auch so machen

Share this post


Link to post

hm, nunja, der Rechner ist ja vom Namen her neu, ist auch beim Anmelden neu angelegt worden. Den alten habe ich natürlich gelöscht. Problem dabei ist einfach, dass selbst wenn ich den Rechnername ändere keine Anmeldung möglich ist. In jedem Fall wird ein Computerkonto erstellt, welches aber automatisch beim Anmeldeversuch dekativiert wird bzw. bleibt.

 

Neue SID habe ich schon ausprbiert - leider keine Lösung.

 

Serverneustart - Rechnerneustart - hat alles nichts geholfen.

 

Wenn da wenigstens eine Fehlermeldung im Log wäre, aber so :confused:

Share this post


Link to post

Wie ist die Zeit auf Server und Rechner? Läuft die Anmeldung nicht über Kerberos??

Und hast Du mal versucht, das Passwort des Computer-Accounts zurück zu setzen?

Share this post


Link to post

Also die Zeit auf Client und Server ist annähernd gleich, Client ist um ein paar Minuten zurück.

Passwort des Computer-Accounts ?? M.E. hat nur ein User ein Passwort.

 

Ich kann auch gut und gerne den Computeraccount löschen aus dem Container (wird ja normalerweise auch automatisch angelegt). Beim Anmeldeversuch wird dann tatsächlich ein neuer Account angelegt, dieser ist jedoch deaktiviert. Wenn ich den dann aktiviere funktioniert die Anmeldung trotzdem nicht.

 

DNS-Einträge sind soweit ok, hab's mit unterschiedlicher SID und IP versucht, leider Fehlanzeige.

 

Was meinst du mit "Anmeldung läuft über Kerberos" ?

 

Ich werd nochmal die GPOs checken, obwohl die sich wohl kaum einfach magisch umkonfigurieren.

 

Wahrscheinlich werde ich den Client morgen einfach mal neu installieren *grummel*, wenn's dann nicht geht, dann :suspect: :confused::cry:

 

Wenn noch jemand ne Idee hat dann her damit ;)

Share this post


Link to post

paar Minuten? Wenn mehr als 12 Min klappt die Kerberos Authentifizierung nicht mehr ... und dann klappt auch der Domänenbeitritt nicht

Share this post


Link to post
paar Minuten? Wenn mehr als 12 Min klappt die Kerberos Authentifizierung nicht mehr ... und dann klappt auch der Domänenbeitritt nicht

 

Ich dachte 5 Minuten.

Share this post


Link to post

na das werde ich doch gleich mal morgen früh checken :)

 

Wenn's daran liegt dann :shock:

 

Vielen DAnk erst einmal für eure gute Unterstützung, ich melde mich morgen früh wieder mit News.

 

Liebe Grüße

 

weimer

Share this post


Link to post

So, Uhrzeit gecheckt, ausprobiert und.... nüschte :cry:

 

Allerdings habe ich jetzt einen interessanten Log: 1000er Userenv, GPO.ini kann nicht gelesen werden.

 

Na das wird sicherlich noch spannend, eventid.net ist gerade mein Freund, Ergebnis werde ich selbstverständlich posten.

 

Liebe Grüße

 

weimer

 

btw: Die Tiefen des WK2 Server sind unergründlich... :wink2:

Share this post


Link to post
Also die Zeit auf Client und Server ist annähernd gleich, Client ist um ein paar Minuten zurück.

Passwort des Computer-Accounts ?? M.E. hat nur ein User ein Passwort.

 

Kerberos funktioniert standardmäßig nur bis 5 Minuten Zeitdifferenz.

 

Und : Ja auch Computerkonten haben im AD ein Passwort, dass Du allerdings nicht selber setzen kannst. Das machen die unter sich aus.

 

ABER: Du kannst den Account resetten, was dem gleich kommt.

 

[Edit] Dann hat sich das mit meinen Tipps wohl erledigt... [/Edit]

Share this post


Link to post

So, der Vollständigkeit halber hier noch die Lösung (zumindest bei mir):

 

Der Server hatte 2 NICs verbaut.

 

NIC1 war zuerst installiert und hatte Netz 192.168.2.x

 

NIC2 ist später dazugekommen, Netz 192.168.117.x und ist eigentlich nur für Backup-Zwecke eingerichtet worden.

 

Nach Deaktivierung der NIC2 ging die Anmeldung des Clients problemlos.

 

Frage: Warum? Wieso gibt's keine Fehler-Logs? Warum läuft der DNS ohne Fehler (inklusive Auflösung aller Namen), obwohl offensichtlich ein Konflikt vorliegt?

 

Fragen über Fragen... nunja, wenigstens läuft's jetzt wieder.

 

Wenn jemand mir ne Lösung präsentieren kann für das Phänomen, dann bin ich vollends begeistert ;)

 

Liebe Grüße und danke nochmal an alle, die sich die Mühe gemacht haben um mir zu antworten

 

weimer

Share this post


Link to post
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Restore formatting

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

Werbepartner:



×
×
  • Create New...