Giải pháp xử lý sự cố trên Domain Controller (DC)

Thảo luận trong 'Hệ điều hành Windows' bắt đầu bởi chip, 10 Tháng bảy 2009.

  1. Offline

    chip

    • Thành viên sáng lập

    • Chíp sún
    Số bài viết:
    777
    Đã được thích:
    778
    Điểm thành tích:
    560
    Tổng quát
    Trên các Domain Controller sử dụng hệ điều hành Windows Server SP1 khi mở chức năng Windows Firewall thường gặp các lỗi trong hoạt động như sau :
    - Các chức năng Domain Controller không thể thực hiện
    - Một số Active Directory (AD) Object không thể Replication
    Hiện tượng thường gặp
    Chúng ta có thể nhận thấy các lỗi như sau :
    1- Client Computer không thể thiết lập các Secure connection (giao dich bảo mật) với Domain controller

    2- Không thể thực hiện logon với Domain User Account

    3- User không thể truy cập các tài nguyên trên Domain cung cấp bởi các Member Servers

    4- Các Additional Domain Controller không hoạt động sau khi nâng cấp

    5- Xuất hiện các thông báo lỗi trong File Replication Service Event Log như :
    Event ID 13508 "The File Replication Service is having trouble enabling replication from …"
    nhưng không đi kèm với các thông báo lỗi như :
    Event ID 13509 "The File Replication Service has enabled replication from …"
    - hoặc -
    Event ID 13516 "The File Replication Service is no longer preventing the computer … from becoming a domain controller."

    6-Trên các Additional Domain controller sau khi xây dựng, không thấy các share folders SYSVOL và NETLOGON

    7-Trên các Additional Domain controller sau khi xây dựng, folders chứa các GPOs
    %systemroot%\SYSVOL\domain\Policies
    Không nhận được thông tin replication tù các Domain Controller khác
    Nguyên nhân
    Việc mở chức năng Firewall trên các Domain Controller đã ngăn cản máy Client Computer truy cập Active Directory hoặc ngăn chận thực hiện công tác AD-Replication


    Giải pháp xử lý
    Để xử lý lỗi nói trên, chúng ta thực hiện các công việc bao gồm : Cấu hình Active Directory File Repication Service (AD-FRS) sử dụng TCP/IP Port xác định không bị tranh chấp và cấu hình Firewall cho phép các Incomming Connections đối với các chương trình và ports yêu cầu

    1) Cấu hình AD-FRS sử dụng TCP/IP Port xác định

    a- Chọn 2 Ports cụ thể không bị sử dụng trên bất kỳ Domain controller nào. Chúng ta có thể chọn các Ports có gía trị trong khoảng từ 49152 dến 65535 (Ví dụ : 53211 và 53212 )
    b- Tạo thêm các biến Registry trên các Domain controller như sau :

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\TCP/IP Port


    tạo biến DWORD chứa giá trị Port VD : 53211 - cfdb (hex)

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\RPC TCP/IP Port Assignment


    tạo biến DWORD chứa fía trị Port VD: 53212 - cfdc (hex)


    2) Cấu hình Firewall Service

    Thiết lập GPO để cấu hình Firewall Service và áp dụng lên các Domain Controllers (có thể áp dụng GPO trên OU=Domain Controllers có sẵn trong các Domain) như sau :

    a. Windows Firewall: Protect all network connections – Enabled
    b. Windows Firewall: Allow remote administration exception - Enabled
    (enables port 135 và 445)
    c. Windows Firewall: Allow file and printer sharing exception: - Enabled
    d. Windows Firewall: Define port exceptions: - Enabled
    (trong bảng Exception, giá trị * có ý nghĩa cho phép incoming requests từ bất kỳ địa chỉ nào)
    123:udp:-*:enabled:NTP
    3268:tcp:-*:enabled:Global Catalog LDAP
    389:tcp:-*:enabled:LDAP
    389:udp:-*:enabled:LDAP
    53:tcp:-*:enabled:DNS
    53:udp:-*:enabled:DNS
    53211:tcp:-*:enabled:AD Replication (Lưu ý : sử dụng Port đã chọn ở phần 1)
    53212:tcp:-*:enabled:File Replication Service (Lưu ý : sử dụng Port đã chọn ở phần 1)
    88:tcp:-*:enabled:Kerberos
    88:udp:-*:enabled:Kerberos


    [IMG]


Chia sẻ trang này

Advertising: Linux system admin | nukeviet | nukeviet 4 | Upload ảnh miễn phí