Dell Unity: NAS-servern rapporterade att domänkontrollantservrarna inte kan nås (kan korrigeras av användaren)

NAS-servern rapporterade intermittenta varningar om att domänkontrollanterna inte kan nås. 

Kommandot svc_cifssupport -pingdc visar DC NETLOGON-fel och DOWNGRADE_DETECTED
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Error 13160939576: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016' because of NT errors (SUCCESS) at step Request Domain Sid. Details of the issue: origin=9000, '' DC='DC NETLOGON pipe failure'/'DOWNGRADE_DETECTED' This issue may prevent user authentication to this domain. Error 13160939579: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016'. Failed to access the pipe NETLOGON at step Open NETLOGON Secure Channel:  Action failed with status=DOWNGRADE_DETECTED

Den domänkontrollant som NAS-servern inte kan ansluta är en RODC (Read-Only Domain Controller). 

RODC lagrar endast lösenord för användare och datorer baserat på dess "Lösenordsreplikeringspolicy". Endast lösenord för konton som finns i allow-grupperna och inte i neka-grupperna kan replikeras till RODC. 

När NAS-servern har anslutits till domänen sparas dess datorkonto och lösenord i den wirteable Domain-styrenheten och som standard replikeras de inte till RODC. 

När NAS-servern försöker upprätta den säkra kanalen till RODC har INTE RODC datorlösenordet för NAS-servern. Därför returneras "STATUS_NO_TRUST_SAM_ACCOUNT" och "DOWNGRADE_DETECTED"

För att lösa problemet måste kunden lägga till NAS-serverns datorkonto till RODC:s policy för lösenordsreplikering så att NAS-serverns kontolösenord kan replikeras till RODC. 

1. Logga in på den skrivbara domänkontrollanten. 
2. Öppna Active Directory Usrs and Computers
3. Gå till OU 4


för domänkontrollanter. Välj den RODC du behöver för att konfigurera "Passowrd replication Policy" och klicka på egenskaperna. 
5. Gå till fliken "Password Replication Policy" och lägg till NAS-serverns datorkonto i gruppen ALLOW. 



Kör nu pingdc-kommandot igen. Den här gången slutförs pingdc utan fel. 
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Referens:

https://www.rebeladmin.com/2014/10/password-replication-in-rodc/