即使离开并以新的计算机名称加入域，破坏的信任关系仍未得到纠正

Question

我最近重新安装了 Windows 7 Enterprise 的笔记本电脑，现在遇到了问题。当我尝试授予域用户对机器的本地访问权限时，计算机抱怨信任关系中断。

我已完成以下操作（两次，每次使用不同的名称），但并未解决问题：

1. 作为域管理员，离开域并加入工作组：WORKGROUP。
2. 重启。
3. 作为域管理员，使用新计算机名称加入域。
4. 重启。
5. 作为域管理员，添加域用户作为本地管理员。
6. 错误：“此工作站与主域之间的信任关系失败。”

这对我来说毫无意义。据我了解，上述过程是解决此问题的适当方法。

到目前为止，我遇到的其他症状包括：

客户端计算机显示无法访问域。同时，在服务器上，我看到来自 NETLOGON 的 EventID 5723：

The session setup from the computer [name_of_computer] failed because there is no trust account in the security database for this computer. The name of the account referenced in the security database is [name_of_computer]$.

加入域后无法通过主机名 ping 主机。离开域后，我可以正常 ping 主机。

nslookup [fqdn]为我的两个域控制器返回正确的值，并且nsloookup [DC hostname]也为域控制器返回正确的 IP。

我已检查 DNS 服务器是否已正确分配给客户端，事实确实如此。

我也不相信我有任何 WINS 服务器会发出错误的 NS 信息。两个域控制器都没有安装该角色（不过如果有人有确定的方法来检查 WINS 服务器，那可能会有帮助）。

有人能提供一些进一步的故障排除步骤吗？

Answer 1

您的下一个故障排除步骤是检查 DC 事件日志中是否有任何有用的信息，然后您需要弄清楚为什么计算机无法“访问域”。

您可能想要反转它们的顺序，它们可能会将您引导到相同的位置，但在 EventLog 中查找错误通常比排除网络故障更容易，这就是为什么我建议从那里开始。

顺便说一句，如果计算机无法“访问域”，您如何才能将其加入域？在我看来，它没有正确加入域，这就是信任关系仍然中断的原因。说实话，我以前没见过这种情况……但您可以在加入域时尝试更改其名称以测试这个想法。查看名称是否在 ADUC 中更改（并查看它是否在所有 DC 上更改 - 也许存在复制问题，导致域无法识别新的计算机帐户）。当您在那里时，您可能需要检查并确保在“重新加入”时创建的各种计算机帐户确实显示在 AD 中。我敢打赌他们没有。

Answer 2

由于加入域后甚至无法 ping 通，因此问题出在网络堆栈的某个地方，与信任关系本身无关。（这意味着信任关系错误的常规故障排除步骤（例如重新加入域）不适用。）

我敢打赌，Windows 防火墙域设置有问题。要确认这一点，请关闭 Windows 防火墙 (简要地！)，看看是否能 ping 通。如果能，请检查设置，或尝试使用 Windows 防火墙控制面板中的“恢复默认值”选项。

Answer 3

您是否选中了“当域成员身份发生变化时更改主 DNS 后缀”复选框？

Answer 4

1. 更新本地工作站 NIC 上的驱动程序
2. 然后删除计算机退出AD刷新
3. 然后重新添加到域...

如果这不起作用，接下来检查 GPO。