![创建后外部域信任验证失败。未找到域?](https://linux22.com/image/742379/%E5%88%9B%E5%BB%BA%E5%90%8E%E5%A4%96%E9%83%A8%E5%9F%9F%E4%BF%A1%E4%BB%BB%E9%AA%8C%E8%AF%81%E5%A4%B1%E8%B4%A5%E3%80%82%E6%9C%AA%E6%89%BE%E5%88%B0%E5%9F%9F%EF%BC%9F.png)
我正在尝试在我的实验室中建立单向信任。LAB.local 是受信任域,而 RED.local 是信任域。在指向彼此的两者上设置了条件转发。DC01.LAB.local [10.32.1.1] 解析并从 DC01.RED.local [10.35.1.1] 回复,反之亦然。
DC 在不同的独立 ESXi 6.5 主机上运行 Server 2019,每个主机都有自己的 pfSense 路由器,防火墙规则设置为允许 IPv4 上的所有内容。OS 防火墙当前已禁用,网络位置为域。
当我尝试将我的 LAB.local 全局组从在 DC01.RED.local 上运行的 ADUC 添加到 RED.local 本地组时,LAB.local 域是可见的,但浏览时需要凭据。添加后,组属性窗口关闭并重新打开,我只会看到带有以下消息的 SID:某些对象名称无法以用户友好的形式显示。如果对象来自外部域,并且该域无法翻译对象名称,则会发生这种情况。
当我尝试从 ADDT 窗口验证我的信任关系时,出现错误:域 RED.local 的 Active Directory 域控制器 \DC01.RED.local 到域 LAB.local 的安全通道 (SC) 重置失败,错误为:我们无法使用此凭据让您登录,因为您的域不可用。请确保您的设备已连接到组织的网络,然后重试。如果您之前使用其他凭据在此设备上登录,则可以使用该凭据登录。
运行一些 NLTEST 命令:
C:\Users\REDAdmin>nltest /trusted_domains
List of domain trusts:
0: LAB LAB.local (NT 5) (Direct Outbound) ( Attr: quarantined )
1: RED RED.local (NT 5) (Forest Tree Root) (Primary Domain) (Native)
The command completed successfully
C:\Users\REDAdmin>nltest /dclist:red.local
Get list of DCs in domain 'red.local' from '\\DC01.RED.local'.
DC01.RED.local [PDC] [DS] Site: REDCorpBelgiumHQ
The command completed successfully
C:\Users\REDAdmin>nltest /dclist:lab.local
Get list of DCs in domain 'lab.local' from '\\DC01.LAB.local'.
You don't have access to DsBind to lab.local (\\DC01.LAB.local) (Trying NetServerEnum).
I_NetGetDCList failed: Status = 6118 0x17e6 ERROR_NO_BROWSER_SERVERS_FOUND
C:\Users\REDAdmin>nltest /server:dc01 /sc_query:lab.local
Flags: 0
Trusted DC Name
Trusted DC Connection Status Status = 1311 0x51f ERROR_NO_LOGON_SERVERS
The command completed successfully
谁能告诉我我做错了什么?
答案1
我似乎找到了为什么它不起作用的原因。
在我的实验室中,我使用了与成员相同的命名策略。这导致每个环境中每个第一个域控制器的命名策略都是 DC01。因此,在它们的完全限定名称中,这些都是唯一的。
然而,Active Directory 似乎多次使用 Netbios,并且当两个域控制器具有相同的 NETBIOS 名称时,就会导致这些问题。
为了解决此问题,我已将我的 RED.local 域控制器降级,将 DC01 重命名为 RED-DC01,提升为域控制器,重新创建我的实验室 AD 对象,添加条件 DNS 转发器并创建信任。BAM,验证有效。
我确实觉得这很奇怪,这是信任发挥作用的必要条件。DC01 似乎是主域控制器经常使用的名称。当两家公司合并在一起时,这必定会形成一个非常大的问题。