Dell Unity: Serwer NAS zgłosił, że serwery kontrolera domeny są niedostępne (możliwość naprawienia przez użytkownika)

Serwer NAS zgłosił sporadyczne ostrzeżenie informujące, że kontrolery domeny są niedostępne. 

Polecenie svc_cifssupport -pingdc pokazuje błąd DC NETLOGON i DOWNGRADE_DETECTED
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Error 13160939576: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016' because of NT errors (SUCCESS) at step Request Domain Sid. Details of the issue: origin=9000, '' DC='DC NETLOGON pipe failure'/'DOWNGRADE_DETECTED' This issue may prevent user authentication to this domain. Error 13160939579: cifs_test :  PingDC failure: The compname 'cifs_test' could not successfully contact the DC 'WIN2016'. Failed to access the pipe NETLOGON at step Open NETLOGON Secure Channel:  Action failed with status=DOWNGRADE_DETECTED

Kontroler domeny, z który serwer NAS nie może się połączyć, jest kontrolerem domeny RODC (Read-Only Domain Controller). 

Kontroler RODC przechowuje tylko hasła użytkowników i komputerów na podstawie zasad replikacji hasła. Do RODC można replikować tylko hasła do kont w grupach Zezwól, a nie w grupach odmowy. 

Po przyłączeniu serwera NAS do domeny jego konto i hasło komputera są zapisywane w kontrolerze domeny przewodowej i domyślnie nie będą replikowane do KONTROLERA RODC. 

W związku z tym, gdy serwer NAS próbuje ustanowić bezpieczny kanał do KONTROLERA RODC, kontroler RODC nie ma hasła komputera serwera NAS, dlatego zwraca "STATUS_NO_TRUST_SAM_ACCOUNT" i "DOWNGRADE_DETECTED"

Aby obejść ten problem, klient będzie musiał dodać konto komputera serwera NAS do zasad replikacji haseł RODC, aby można było replikować hasła konta serwera NAS do RODC. 

1. Zaloguj się do kontrolera domeny z możliwością zapisu. 
2. Otwórz aplikację "Active Directory Usrs and Computers"
3. Przejdź do jednostki OU 4 "Kontrolery domeny"


. Wybierz kontroler RODC, który chcesz skonfigurować jako "Zasady replikacji passowrd" i kliknij właściwości. 
5. Przejdź do karty "Zasady replikacji hasła" i dodaj konto komputera serwera NAS do grupy ALLOW. 



Teraz ponownie uruchom polecenie pingdc, tym razem polecenie pingdc zostanie zakończone bez błędu. 
 

spa:/service/user# svc_cifssupport cifs_test -pingdc -compname cifs_test -dc WIN2016 -verbose

 

cifs_test : done

PINGDC GENERAL INFORMATION

DC SERVER:
Netbios name  : WIN2016

CIFS SERVER:
Compname      : cifs_test
Domain        : peeps.lab

Materiały referencyjne:

https://www.rebeladmin.com/2014/10/password-replication-in-rodc/