Dell Unity: Server NAS oznámil, že servery řadičů domény nejsou dostupné (oprava uživatelem)

Server NAS nahlásil občasné varování, že řadiče domény nejsou dostupné. 

Příkaz svc_cifssupport -pingdc zobrazí chybu DC NETLOGON a DOWNGRADE_DETECTED
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Error 13160939576: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016' because of NT errors (SUCCESS) at step Request Domain Sid. Details of the issue: origin=9000, '' DC='DC NETLOGON pipe failure'/'DOWNGRADE_DETECTED' This issue may prevent user authentication to this domain. Error 13160939579: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016'. Failed to access the pipe NETLOGON at step Open NETLOGON Secure Channel:  Action failed with status=DOWNGRADE_DETECTED

Řadič domény, ke kterému se server NAS nepřipojí, je ŘADIČ DOMÉNY JEN PRO ČTENÍ. 

Řadič RODC ukládá hesla uživatelů a počítačů pouze na základě zásad replikace hesel. Na řadič RODC lze replikovat pouze hesla pro účty, které se nacházejí ve skupinách Allow, a nikoli ve skupinách Deny. 

Po připojení serveru NAS k doméně se účet počítače a heslo uloží do řadiče domény s možností instalace a ve výchozím nastavení nebude replikován na řadič RODC. 

Když se tedy server NAS pokusí vytvořit zabezpečený kanál pro řadič RODC, řadič RODC nemá heslo počítače serveru NAS, takže vrátí "STATUS_NO_TRUST_SAM_ACCOUNT" a "DOWNGRADE_DETECTED".

K vyřešení problému bude zákazník muset přidat účet počítače serveru NAS do zásad replikace hesel řadiče RODC, aby bylo možné replikovat hesla účtu serveru NAS na řadič RODC. 

1. Přihlaste se k řadiči domény s možností zápisu. 
2. Otevřete nabídku "Active Directory Usrs and Computers"
3. Přejděte na položku "Řadiče domény" OU


4. Vyberte řadič RODC, který chcete nakonfigurovat jako "Zásady replikace Passowrd" a klikněte na vlastnosti. 
5. Přejděte na kartu "Zásady replikace hesel" a přidejte účet počítače serveru NAS do skupiny ALLOW. 



Nyní znovu spusťte příkaz pingdc, tentokrát se příkaz pingdc dokončí bez chyby. 
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Reference:

https://www.rebeladmin.com/2014/10/password-replication-in-rodc/