Dell Unity: NAS-palvelin ilmoittaa, että toimialueen ohjauskoneen palvelimet eivät ole tavoitettavissa (käyttäjän korjattavissa)

NAS-palvelin ilmoitti ajoittaisesta varoituksesta, jonka mukaan toimialueen ohjauskoneet eivät ole tavoitettavissa. 

svc_cifssupport -pingdc-komento näyttää DC NETLOGON -virheen ja DOWNGRADE_DETECTED
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Error 13160939576: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016' because of NT errors (SUCCESS) at step Request Domain Sid. Details of the issue: origin=9000, '' DC='DC NETLOGON pipe failure'/'DOWNGRADE_DETECTED' This issue may prevent user authentication to this domain. Error 13160939579: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016'. Failed to access the pipe NETLOGON at step Open NETLOGON Secure Channel:  Action failed with status=DOWNGRADE_DETECTED

Toimialueen ohjauskone, johon NAS-palvelin ei saa yhteyttä, on RODC (Read-Only Domain Controller). 

RODC säilyttää käyttäjien ja tietokoneiden salasanoja vain salasanan replikointikäytännön (Password Replication Policy) perusteella. RODC-määritykseen voi replikoida vain Allow groups -ryhmissä ja ei Deny groups -ryhmissä olevien tilien salasanoja. 

Kun NAS-palvelin on liitetty toimialueeseen, sen tietokonetili ja salasana tallennetaan wirteable Domain -ohjauskoneeseen, eikä niitä replikoida OLETUSARVOISESTI RODC-ohjaimeen. 

Kun NAS-palvelin yrittää muodostaa suojatun kanavan RODC:iin, RODC:llä ei ole NAS-palvelimen tietokoneen salasanaa, joten se palaa STATUS_NO_TRUST_SAM_ACCOUNT ja DOWNGRADE_DETECTED

Ongelman voi kiertää lisäämällä NAS-palvelimen tietokonetilin RODC:n salasanan replikointikäytäntöön, jotta NAS-palvelimen tilin salasanat voidaan replikoida RODC:iin. 

1. Kirjaudu sisään kirjoitettavaan toimialueen ohjauskoneeseen. 
2. Avaa Active Directory Usrs and Computers (Active Directory Usrs and Computers)
3. Valitse Domain controllers (Toimialueen ohjauskoneet) -organisaatioyksikköön


4. Valitse RODC, jonka haluat määrittää Passowrd replication Policy -määrityksen, ja napsauta ominaisuuksia. 
5. Siirry Password replication Policy (Salasanan replikointikäytäntö) -välilehteen ja lisää NAS-palvelimen tietokonetili ALLOW-ryhmään. 



Suorita pingdc-komento uudelleen. Tällä kertaa pingdc suoritetaan ilman virheitä. 
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Viite:

https://www.rebeladmin.com/2014/10/password-replication-in-rodc/