Verlust Konnektivität AD

[Friesenjunge 17]

Moin zusammen,

 

wir haben bei fast allen Windows 10 Clients regelmäßig (!) den Effekt, dass über Nacht oder über das Wochenende, teilweise bei dauerhaft laufenden PCs nach einem simplen Reboot die Anmeldung mit einem Benutzerkonto aus der AD nicht mehr möglich ist.

 

Man erhält dann folgende Meldung:

Zitat

Die Sicherheitsdatenbank auf dem Server enthält kein Computerkonto für diese Arbeitsvertrauensstellung

 

Sicher, einmal PC raus aus der AD und wieder rein, soweit ja kein Problem.

Wie kann ich Windows 10 endlich beipulen, seine Verbindung zur AD dauerhaft zu halten?

Ich kenne den Effekt von Rechnern, die längere Zeit (mind. 14 Tage) keine Verbindung zu einem passenden DC hatten. Klar, das Computerkonto konnte nicht erneuert/aktualisiert werden.

 

Aber bei Rechnern, die permanent oder täglich im Firmennetz sind, sollte dieser Effekt nicht auftreten. Es ist echt nervig und produktivitätsschädlich.

 

Bin für jeden konstruktiven Beitrag dankbar

 

 

 

[4077 30]

Prüfe mal die Liste zu Anfang dieses Artikels. Vielleicht ist eine der möglichen Ursachen dabei. 

[Christian 0]

Hi,
such mal nach deiner Fehlermeldung in Kombination mit "servicePrincipalName". Vielleicht bringt dich das weiter. ;)

 

Gruß
Christian

[lefg 276]

vor 4 Stunden schrieb Friesenjunge:

Die Sicherheitsdatenbank auf dem Server enthält kein Computerkonto für diese Arbeitsvertrauensstellung

 

Moin

 

Und, tatsächlich nicht, wurde schon einmal nachgeschaut?

 

Gibt es in den Ereignisanzeigen von Server und Client etwas dazu?

 

Wurde an den Clients etwas verändert? Oder am Server?

 

Was bringt dcdiag am Server? dcdiag /q gibt nur die Fehler aus. Die Ausgabe sollte bei Bedarf in die Zwischenablage oder eine Datei geleitet werden.

bearbeitet 3. Juni 2019 von lefg

[MurdocX 933]

Ich hatte das schon mal in Kombination mit einer falsch konfigurierten AntiViren-Software die auch die Firewall kontrolliert hat. Was setzt du eine ein?

[Friesenjunge 17]

@Lefg:
Computerkonto ist im AD vorhanden und angeblich aktiv.

DCDIAG /q ohne Ausgabe, umgekehrt alle Tests bestanden
 

Geändert wurde an der Umgebung nichts. Logs sagen leider nichts greifbares.

 

@MurdocX:

Virenschutz ist Trendmicro. Habe hier noch keinerlei Probleme damit gehabt, obwohl es auch nicht mein persönlicher Favorit ist.

Firewall wird zentral per GPO verwaltet.

[mba 133]

Router =speedport?? 

[Friesenjunge 17]

Gerade eben schrieb mba:

Router =speedport?? 

In einer professionellen Umgebung?

Nein, Symmetrischer Glasfaseranschluss 200MBit/s mit mehreren festen IPs.

Anbindung über eine amtliche Firewall, DNS, DHCP alles intern durch uns AD-integriert. 

[mba 133]

Ach, den gibt's öfter. Dann pfuscht er mit seinem dhcp v6 rein. Gibt oft unmögliche effekte

[DocData 85]

Rechner geklont?

[Friesenjunge 17]

vor 32 Minuten schrieb DocData:

Rechner geklont?

Nein. Aber teilweise kostenloses Upgrade von Win 7 und 8.

[tesso 373]

Zeitdifferenzen zwischen Clients und DCs?

[daabm 1.334]

Um das mal mit Erfahrungswerten ein wenig einzugrenzen: Member fliegen nicht "einfach so" aus einer Domäne. Dabei ist es unerheblich, wie lange sie offline sind - die Kennwortänderung eines Computerkontos wird immer vom Member initiiert, nie von einem Domain Controller. Und der Member merkt sich auch noch das vorherige Kennwort - schlägt die Authentifizierung mit dem aktuellen fehl, probiert er es mit dem vorherigen. Könnte ja ein DC erwischt worden sein, der noch nicht repliziert hat...

 

Hast Du einen lokalen Admin (LAPS?), mit dem Du Dich im Fehlerfall anmelden kannst, um etwas weiter zu diagnostizieren, z.B. Eventlogs mal analysieren und ein paar Versuche mit NLTest zu machen? Wenn nein, wird's schwierig...

[Nobbyaushb 1.464]

Ich kenne das nur unter bestimmten Umständen von Windows 7 Clients - weiß gar nicht mehr, was wir gemacht haben.

 

Wenn ich mich recht entsinne, Rechener raus aus dem Domäne in Arbeitsgruppe "Workgroup" und wieder in die Domäne rein.

 

Habe ich aber schon ganz lange nicht mehr machen müssen...

 

Wie angemerkt - spuckt dir ggf. IPv6 ins Hemd, wäre nicht das 1te Mal... - wenn das alles passt, weiß ich auch nicht...