Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden

[RalphT 15]

Moin,

 

ich habe hier eine neue AD-Umgebung vor ca. 40 Tagen aufgebaut. 3 Server 2019 als Domaincontroller, einer an einem anderen Standort.
Clients alle Windows 10.

 

Nun hatte ich schon die folgende Fehlermeldung an 2 versch. Clients:

Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden

 

Ich habe die Rechner einfach nur neu geatartet, ohne etwas zu machen. In beiden Fällen funktionierte es danach.
Jetzt ist natürlich die Frage, wo das Problem liegen könnte.

 

Folgende Dinge habe ich überprüft:

Uhrzeit. Auf allen DCs und auf den Clients stimmt die Zeit auf die Sekunde.
Auf allen DCs habe ich dcdiag und repadmin /showrepl ausgeführt. Alles ok.
Auf den DCs zeigt die Ereignisanzeige keine Fehler an.
Die beiden betroffenen Clients sind/waren eigentlich immer in Benutzung. Es wurde auch nichts aus einem Image hergestellt.

 

Meine Vermutung ist, dass nach dem zweiten Neustart der Client erfolgreich sein Computerkennwort erfolgreich ändern konnte.

An welcher Stelle könnte man denn mal nachsehen, ob es ein Problem gibt?

[NilsK 2.785]

Moin,

 

das klingt für mich jetzt am ehesten wie ein "hängengebliebenes" Update auf den Clients. Es kommt oft vor, dass der abschließende Neustart fehlt und dadurch einiges nicht läuft wie gewünscht.

 

Wenn du was dazu findest, dann in den Eventlogs.

 

Gruß, Nils

 

[RalphT 15]

Hallo Nils,

 

danke für Info.

 

Ja, das könnte vielleicht so gewesen sein. Bei einem Client war zum besagten Zeitpunkt sehr viel rot in der Ereignisanzeige. Da habe ich jetzt auch nicht weiter geforscht.

Der andere Client hatte kaum rote Einträge oder Warnungen die mir verdächtig vorkamen. Hier standen z.B. diese Meldung:

 

Beim Starten der Sitzung "Microsoft.Windows.Remediation" ist der folgende Fehler aufgetreten: 0xC0000035.

Der Dienst Gruppenrichtlinienclient konnte nach dem Empfang eines Preshutdown-Steuerelements nicht richtig heruntergefahren werden.

 

Vielleicht war das der Grund. Ich werde das mal weiter im Auge behalten. Derzeit sind es hier ca. 50 Clients und viele Server und bei 2 Geräten ist das bislang aufgetreten.

[daabm 1.185]

Ich würde ja primär mit den Eventlogs auf den Clients anfangen, bevor ich die ganze Infrastruktur durchprüfe Und wegen 2 Geräten - wenn's mit nem Neustart behoben ist - ok, beobachten, aber "aktiv" würde ich da noch nicht werden.

[Nobbyaushb 1.359]

Moin,

kann aber ggf. noch die Ursache mit dem LAN sein, das wir hier schon ein paar mal hatten

Wenn das nochmal vorkommt, gucken ob der PC wirklich mit dem Domänen-Netzwerk verbunden ist oder ob da öffentliches LAN steht

 

Hatten wir einige Zeit und war irgendwann weg

Und ja, bei uns gab es eine GPO „aufs Netzwerk warten…“

 

My2Cents

[RalphT 15]

vor 10 Stunden schrieb Nobbyaushb:

Moin,

kann aber ggf. noch die Ursache mit dem LAN sein, das wir hier schon ein paar mal hatten

Wenn das nochmal vorkommt, gucken ob der PC wirklich mit dem Domänen-Netzwerk verbunden ist oder ob da öffentliches LAN steht

 

Hatten wir einige Zeit und war irgendwann weg

Und ja, bei uns gab es eine GPO „aufs Netzwerk warten…“

 

My2Cents

Moin,

 

ja das Problem hatte ich schon mal, dass das Netzwerk auf öffentlich stand. Meine Idee war ja am Anfang, dass der Client nicht mit dem DC kommunizieren konnte. Aber selbst wenn der Client keinen Kontakt zum DC hätte, dürfte doch diese Meldung nicht erscheinen. Wenn ich das richtig verstanden habe, dann meckert der Client nur, wenn sein Computerpasswort nicht mit dem hinterlegten Computerpasswort auf dem DC übereinstimmt. Hat er keine Verbindung, kann er auch keinen Unterscheid feststellen - oder?

 

Auch diese GPO hatte ich Anfangs vergessen. Die ist aber jetzt vorhanden.

 

Zitat

Und wegen 2 Geräten - wenn's mit nem Neustart behoben ist - ok, beobachten, aber "aktiv" würde ich da noch nicht werden.

Eigentlich hast du Recht. Aber da die ganzen Jahre der Fehler nie aufkam, hatte ich Anfangs schon Bedenken, dass ich bei der Neuinstallation einen Fehler gemacht habe.

[Nobbyaushb 1.359]

Na dann - warten wir mal den nächsten Patchday ab… 

[daabm 1.185]

Am 6.2.2023 um 09:56 schrieb RalphT:

Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden

 

Nur um noch mal darauf hinzuweisen: Das heißt NICHT, daß der Client sich nicht mehr in der Domäne wähnt. Das heißt nur, daß der Client sich gegen die Domäne nicht authentifizieren konnte und daß es deshalb keinen Secure Channel gibt und danach alles mögliche andere auch noch schief geht. Es MUSS in so einem Fall vorhergehende andere Fehler geben.

 

Oder - eher unwahrscheinlich - es gibt vergessene Domain Controller, die nicht mehr replizieren und auf denen deshalb das Computerkennwort nicht "in Sync" ist. Nicht lachen - kommt bei uns leider regelmäßig vor, daß irgendwo noch ein RODC/WDC steht, der schlicht vergessen wurde sauber außer Betrieb zu nehmen.

[NilsK 2.785]

Moin,

 

Das hätte ich jetzt in allen Umgebungen vermutet, aber nicht in eurer ...

 

Gruß, Nils

[daabm 1.185]

Doch doch - wir haben ja selbständige Kunden, die manchmal komische Sachen machen. Server im zentralen Management einfach löschen (statt sie außer Betrieb zu nehmen), dann aber weiterlaufen lassen z.B.

[RalphT 15]

Am 7.2.2023 um 17:35 schrieb daabm:

Nur um noch mal darauf hinzuweisen: Das heißt NICHT, daß der Client sich nicht mehr in der Domäne wähnt. Das heißt nur, daß der Client sich gegen die Domäne nicht authentifizieren konnte und daß es deshalb keinen Secure Channel gibt und danach alles mögliche andere auch noch schief geht. Es MUSS in so einem Fall vorhergehende andere Fehler geben.

 

Ja, das dachte ich mir schon. Aber jetzt haste mich neugierig gemacht. Ich habe gerade beobachtet, dass so mancher gerne zum Feierabend sein Gerät nicht herunterfährt, sondern einfach nur den Bildschim sperrt.

Wie würde sich denn dieser Fehler im Betrieb bemerkbar machen? Würde z.B. der Zugriff auf Laufwerke fehlen? Oder ist das eher ein stiller Fehler?

[daabm 1.185]

"Im laufenden Betrieb" passiert das eher seltenst (mir jedenfalls noch nicht vorgekommen), daher kann ich nichts dazu sagen. Ich kenne das tatsächlich nur "beim Boot".