Cliënt wordt telkens van Server gegooid (Trust relations)

[Verwijderd]

Wij hebben constant te maken met een cliënt die telkens van het netwerk word gegooid, zo werd ik vanochtend gebeld over een bestand dat die gene wou aanpassen en niet meer kon opslaan, even geprobeerd uit te vogelen maar zonder resultaat.

Aangezien ik al bij die zelfde persoon was langs geweest deze morgen (wel vaker dan 1x) voor het opnieuw laten joinen van het domein, kan ze weer inloggen.

Gebruik hiervoor de volgende stappen:

1. Aanmelden als Administrator (lokaal)
2. Computer uit domain verwijderen, en lid maken van een WORKGROUP
3. Computer is opnieuw opgestart, lokaal ingelogd en weer toegevoegd aan het domain
4. Computer weer opnieuw opgestart, en ze kan weer inloggen op het domain
5. Dit gaat even goed, soms dagen, maar deze periode al bijna de hele week, soms om het uur, maar er kunnen ook paar dagen tussen zitten.

Continu krijgt ze de melding "Kan geen vertrouwensrelatie tot stand brengen tussen dit werkstation en het primaire domein".

Ook heb ik hiervoor een methode opgezocht dat dit probleem zou verhelpen, het werkt wel, maar voor even..

Vanochtend om 9:00 kon deze medewerker niet inloggen om dezelfde reden, nu 2 uur verder precies dezelfde melding..

Het gebeurt trouwens het meest bij deze medewerkers, terwijl andere medewerkers er haast geen last van hebben. Het gaat om een bedrijfs netwerk van +- 60 medewerkers (clients) met Windows Server 2003 en de clients waar dit op gebeurt draaien op Windows 7 Professional.

Iemand een betere oplossing?

[ Voor 18% gewijzigd door Verwijderd op 04-07-2013 11:41 ]

[Question Mark]

Verwijderd schreef op donderdag 04 juli 2013 @ 11:38:
Het gaat om een bedrijfs netwerk van +- 60 medewerkers (clients) met Windows Server 2003 en de clients waar dit op gebeurt draaien op Windows 7 Professional.

In je andere topics staat dat je ook al een Windows 2008 R2 DC in je domein hebt draaien...

Begin eens met basic troubleshooten. Post eens de output van "ipconfig / all" van beide dc's en de niet werkende client. Op welke DC draait je DNS-service?

[marc181982]

Is dit na een herstart? Word de pc toevallig niet opgestart in windows recovery environment? Kan zijn dat er elke tijdens de controle op problemen systeemherstel word uitgevoerd. Dit is uit te schakelen.

Anders even een tijdelijke oplossing : http://technet.microsoft....ry/cc785826(v=ws.10).aspx
Is ook uit te schakelen dmv een register sleutel. (Disable machine account password changes) Geeft je even tijd om het rustig te troubleshooten.

[ Voor 14% gewijzigd door marc181982 op 04-07-2013 13:05 ]

[Verwijderd]

Je joined de client opnieuw in het domein, maar ik zie er niet bij staan dat je het computer account verwijderd uit AD.

Bij de volgende keer gooi je de pc uit het domein en verwijder je het computer account, vervolgens voeg je hem weer toe aan het domein en plaats je het computer account in de juiste OU.

Computer account kan een verkeerd password of role hebben bijvoorbeeld.

[alt-92]

Is het nu maar met één client pc of met meerdere?
De fout is namelijk machine (account) specifiek..

[Verwijderd]

lourenz,

Ik heb in andere omgeving ook een aantal pc draaien die in een domein zitten die pc worden bij elke herstart gereborn. wij hadden dit probleem ook en dit is op te lossen door de volgende parameter in het register aan te passen HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters dan pas je DisablePasswordChange aan naar 1.

Veel succes

[F_J_K]

Dat is dezelfde als die marc181982 in "Cliënt wordt telkens van Server gegooid (Trust relations)" al noemde (maar dan door direct het register aan te passen). Maar vanwege de impact op beveiliging zou ik dat niet als permanente oplossing willen zien...

[alt-92]

Dat is zoals hierboven aangegeven niet een oplossing maar een tijdelijke workaround.

Overigens is dat beter met een (local) policy configureren dan met een rechtstreekse registry edit - een policy waarde zie je terug in je reports (gpresult).

[Killah_Priest]

De laatste keer dat ik een machine had welke keer op keer trust relation errors kreeg bleek een collega van mij per abuis ook een andere machine binnen het domein van dezelfde naam voorzien te hebben. Je kreeg dus het probleem dat zodra machine B rejoined werd dat machine A geen trust meer op kon zetten. Ik machine A weer joinen, machine B kreeg het probleem (logisch natuurlijk aangezien er maar computeraccount was voor deze naam).
Pas toen ik een melding binnenkreeg over machine B zag ik dat de naam mij heel bekend voorkwam.

[johnkeates]

Wat staat er in de logs?

In plaats van gokken kan je ook gewoon de fout onderzoeken en oplossen.

[Mental]

Dit klinkt heel erg als een domain waarin meerdere dc's denken dat ze de pdc zijn.
Computer passwords worden opgeslagen in AD en lokaal op de PC, als deze niet overeenkomen krijg je deze ellende.
Je hebt 2 opties:
1. Zorg ervoor dat de pc zijn computeraccount password niet meer wijzigd ( http://technet.microsoft....c785826%28v=ws.10%29.aspx )
2. Achterhaal de oorzaak van deze problemen, kijk bijvoorbeeld op elke domaincontroller wat volgens die domaincontroller het computeraccount password is voor die falende computer.

Maar begin eens te checken of de operation masters op elke DC wel naar dezelfde DC wijzen én erg belangrijk, controleer of replicatie tussen je dc's goed werken.
Heb je maar 1 domaincontroller: vreemd, dit zou niet moeten kunnen.

Verwijderd schreef op vrijdag 05 juli 2013 @ 16:47:
Je joined de client opnieuw in het domein, maar ik zie er niet bij staan dat je het computer account verwijderd uit AD.

Bij de volgende keer gooi je de pc uit het domein en verwijder je het computer account, vervolgens voeg je hem weer toe aan het domein en plaats je het computer account in de juiste OU.

Computer account kan een verkeerd password of role hebben bijvoorbeeld.

Als je een machine opnieuw joined overschrijft hij het computeraccount wat al bestond, inclusief het password dus.

[ Voor 28% gewijzigd door Mental op 17-07-2013 22:47 ]