Zugriff auf RDS nur via IP Adresse möglich

[teletubbieland 139]

Moin,

 

nachdem der alte Haupt-DC ersetzt wurde (2012 -> 2019), taucht das Phänomen auf, dass sich die Benutzer nicht mehr an dem RDS anmelden können, wenn der Name verwendet wird.

Nimmt man die IP geht's.

In den Logs kann ich weder am Server etwas finden, noch an den Arbeitsstationen.

Workaround der meistens hilft, ist: Vertrauensstellung zwischen PC und Domäne erneuern.

Bei manchen PCs hilft das aber auch nicht.

Hat jemand eine Idee dazu?

[tesso 360]

Mal ins Blaue. Falscher DNS, weil dich die IP des DC geändert hat?

[Nobbyaushb 1.359]

nslookup hilft einiges zu finden

send mobile 

[teletubbieland 139]

der neue DC hat die gleiche ip bekommen, wie der Alte.

Und NS-Lookup liefert korrekte Ergenisse.

 

[cj_berlin 1.137]

Moin,

 

welche Fehlermeldung bekommen denn die User, die sich nicht anmelden können? Es sieht ja bald so aus, als würde nur NTLM zu eurem RDS funktionieren, aber nur dann, wenn man es dazu zwingt.

 

Frage: Habt ihr noch Rechner, wo ihr das "Erneuern der Vertrauensstellung" noch nicht durchgeführt habt, das aber noch probieren würdet, weil es da diese Probleme gibt? Könntet ihr, bevor ihr das macht, dort einen User anmelden, der dort noch nie angemeldet war (am besten einen neuen Testuser anlegen) und schauen, ob das klappt?

Und, nicht weniger wichtig, wie genau habt ihr die Migration der DCs durchgeführt?

[teletubbieland 139]

zu 1: Der Benutzer bekommt die Meldung"falsches Passwort".

 

zu 2: ja, kann ich machen

 

zu 3: Neuen DC aufgesetzt, alle Rollen transfered, dcdiag ausgeführt, IPs getauscht, alten DC entfernt.

[Nobbyaushb 1.359]

vor einer Stunde schrieb teletubbieland:

zu 3: Neuen DC aufgesetzt, alle Rollen transfered, dcdiag ausgeführt, IPs getauscht, alten DC entfernt.

Wie genau?

[daabm 1.185]

klist erzählt Dir schon mal, welche Tickets du hast. Hat der RDS keine SPNs mehr registriert?

klist get TERMSRV/<FQDNdesRDS>

Und so weiter

BTW - "IPs getauscht", bist Du sicher, daß alle DNS-SRV-Records sauber sind?

nslookup -type=ALL _kerberos._tcp.<DomainFQDN>

liefert was genau? (Spoiler: "ALL" muss hier großgeschrieben werden...)

[teletubbieland 139]

vor 2 Stunden schrieb Nobbyaushb:

Wie genau?

Worauf zielst Du?

 

vor einer Stunde schrieb daabm:

klist erzählt Dir schon mal, welche Tickets du hast. Hat der RDS keine SPNs mehr registriert?

klist get TERMSRV/<FQDNdesRDS>

Und so weiter

BTW - "IPs getauscht", bist Du sicher, daß alle DNS-SRV-Records sauber sind?

nslookup -type=ALL _kerberos._tcp.<DomainFQDN>

liefert was genau? (Spoiler: "ALL" muss hier großgeschrieben werden...)

Prüfe ich. Danke.

OK. Ich will jetzt nicht zu früh jubeln, aber nachdem ich ein paar alte DNS-Records gelöscht habe (vor Allem alte Nameserver standen noch im System) und ich den TS neu gestartet habe, konnte ich mich wieder korrekt anmelden.

nslookup und klist lieferten danach auch nur Ergebnisse von existierenden Systemen.

 

Mal sehen, was die User Morgen sagen...

[Nobbyaushb 1.359]

vor 1 Stunde schrieb teletubbieland:

Worauf zielst Du?

Hat sich durch die Antworten inzwischen ergeben 

vor 1 Stunde schrieb teletubbieland:

Mal sehen, was die User Morgen sagen...

Bin gespannt!

[teletubbieland 139]

wollte noch abschliessend mitteilen, dass es wirklich die DNS-Leichen waren.

Interessanterweise waren da noch mehr alte Einträge, die bisher aber nie gestört haben.

 

Danke nochmal für Eure Unterstützung!

[Nobbyaushb 1.359]

Danke für die Rückmeldung - it is always DNS…

[teletubbieland 139]

vor 25 Minuten schrieb Nobbyaushb:

Danke für die Rückmeldung - it is always DNS…

manchmal aber auch eine übersehen policy

 

[Sunny61 773]

Du kannst auch die Aufräumung aktivieren: https://www.faq-o-matic.net/2006/04/30/endlich-ordnung-auf-dem-dns-server/

[Nobbyaushb 1.359]

vor 3 Stunden schrieb Sunny61:

Du kannst auch die Aufräumung aktivieren:

Schöner alter Artikel von Frank - was macht der eigentlich?

Und ich soll dich schön von Tobi grüßen!

;.)