AD DS Server kan niet bereikt worden in VPN

[Thomzh]

Dag tweakers,

Ik probeer een Active Directory domain op te zetten tussen mijn laptop (W8Pro) en mijn server (WS2012). Daarvoor heb ik de AD DS role geinstalleerd op mijn server, dat zou prima moeten werken. Bovendien is DNS geinstalleerd.

De server en laptop zijn verbonden met een VPN. Hierdoor zien ze elkaar op de ipadressen 10.0.0.1 (server) en .4 (laptop).

Als ik nu mijn laptop aan het Domain wth.local toe wil voegen via de normale System Properties krijg ik deze fout:

Note: This information is intended for a network administrator. If you are not your network's administrator, notify the administrator that you received this information, which has been recorded in the file C:\Windows\debug\dcdiag.txt.

The following error occurred when DNS was queried for the service location (SRV) resource record used to locate an Active Directory Domain Controller (AD DC) for domain "wth.local":

The error was: "DNS name does not exist."
(error code 0x0000232B RCODE_NAME_ERROR) Ook via deze code kwam ik er niet uit

The query was for the SRV record for _ldap._tcp.dc._msdcs.wth.local

Common causes of this error include the following:

- The DNS SRV records required to locate a AD DC for the domain are not registered in DNS. These records are registered with a DNS server automatically when a AD DC is added to a domain. They are updated by the AD DC at set intervals. This computer is configured to use DNS servers with the following IP addresses:

192.168.1.254 (Default gateway en DNS server van de router)
149.210.151.132 (DNS server van de VPN verbinding (de server dus))
10.0.0.1
(EDIT nav reacties, heb DNS van VPN gewijzigd naar 10.0.0.1, in de foutmelding staat dat nu dus ook.)

Als ik via nslookup de SRV record op zoek vind zowel de laptop als de server hem. Het lijkt erop dat deze record gewoon klopt. Ook via de DNS tool vind ik hem gewoon.

- One or more of the following zones do not include delegation to its child zone:

wth.local
local
. (the root zone)

Ik weet niet precies wat hier bedoeld wordt, maar in de DNS tree is dit netjes genest.

Weet een van u in welke richting ik verder moet zoeken?

[ Voor 3% gewijzigd door Thomzh op 03-12-2013 17:58 ]

[sanfranjake]

Je moet zorgen dat je laptop altijd de 10.0.0.1 als dnsserver meekrijgt, of deze desnoods (als test) handmatig instellen.
Die huistuinkeukenrouter en je internetprovider (149.x.x.x) heeft geen flauw benul waar weetikveel.local zich bevindt. Je kan als test natuurlijk in je modem (149.x.x.x) wel even poort 53 tcp en udp open zetten om te kijken of de situatie dan ook beter is. Maar liever gebruik je gewoon het interne ip van de dns server en gebruik je al dan niet het vinkje "use default gateway in remote network".
Sorry dat ik het zeg maar DNS is toch wel prio EN lesje 1 voor het functioneren van Active Directory. Dat is al sinds de eerste versie in Windows 2000 zo

[Koffie]

Move PNS > WSS

[Thomzh]

sanfranjake, bedankt voor je reactie!

Ik zal zo 10.0.0.1 als DNS instellen. Toch blijft het vreemd, want dmv nslookup heeft mijn laptop blijkbaar wel degelijk een idee waar weetikveel.local zich bevind.

EDIT: inmiddels gedaan, maar de foutmelding blijft, alleen nu op het 10.0.0.1 adres.

Dat DNS de sleutel is tot Active Directory ontdekte ik ook bij het doorspitten van het internet, maar de precieze oplossing heb ik niet kunnen vinden. Alle tips waar ik steeds strandde gingen over het instellen van de records.

[ Voor 9% gewijzigd door Thomzh op 03-12-2013 17:59 ]

[sanfranjake]

Heb je misschien nog een record in de cache zitten, of het gaat ergens op firewall-niveau mis ...
Je moet iig zorgen dat een AD-clientcomputer nimmer en nooit een andere dns-server gaat benaderen dan de domaincontrollers en daaraan gekoppelde dns-servers in het domein (want AD en DNS hoeven niet altijd per se op dezelfde server te staan in een groot netwerk).
Hoe zit het op je server? Als je daar in de cmd-prompt dcdiag draait nog rare foutmeldingen anders dan IPv6? Of heb je dat misschien nou juist uitgeschakeld op server of client waardoor dit ontstaat?

[Thomzh]

sanfranjake schreef op dinsdag 03 december 2013 @ 17:20:Heb je misschien nog een record in de cache zitten, of het gaat ergens op firewall-niveau mis ...

Cache geleegd met /flushdns, zelfde resultaat.
De Firewall zou dan met NSLookup ook problemen moet geven, of zit ik mis?

sanfranjake schreef op dinsdag 03 december 2013 @ 17:20:
Je moet iig zorgen dat een AD-clientcomputer nimmer en nooit een andere dns-server gaat benaderen dan de domaincontrollers en daaraan gekoppelde dns-servers in het domein (want AD en DNS hoeven niet altijd per se op dezelfde server te staan in een groot netwerk).

Dit betekent dat internet zonder VPN verbinding onmogelijk is? Want mijn laptop verbindt zich dmv VPN aan de server. Krijgt dus een lijntje naar 10,0,0,1, en dat is de enige DNS server.

In de huidige situatie heeft mijn laptop twee netwerkcontrollers:

1. Ethernetpoort die naar huistuinkeukenrouter gaat en daar een Gateway (192.168..) en DNS server (192.168...) heeft
(EDIT: wanneer ik die ook naar DNS server 10.0.0.1 verwijs heb ik geen internetconnectie meer)
2. VPN verbinding die naar server gaat (149....) en daar heb ik nu 10.0.0.1 als DNS ingesteld

Maar je zegt dus dat 1 voorkomen dient te worden? Dan wordt mijn laptop afhankelijk van de VPN connectie (die ook weleens uit staat).

[ Voor 19% gewijzigd door Thomzh op 03-12-2013 18:00 ]

[Thomzh]

sanfranjake schreef op dinsdag 03 december 2013 @ 17:20:
Hoe zit het op je server? Als je daar in de cmd-prompt dcdiag draait nog rare foutmeldingen anders dan IPv6? Of heb je dat misschien nou juist uitgeschakeld op server of client waardoor dit ontstaat?

Ik heb niet bewust IPv6 uitgeschakeld. DcDiag geeft alleen deze warning en verder allemaal passes:

Starting test: DFSREvent
There are warning or error events within the last 24 hours after the
SYSVOL has been shared. Failing SYSVOL replication problems may cause
Group Policy problems.

[Thomzh]

De informatie in de posts aangepast naar de huidige situatie, waar 10.0.0.1 de DNS server van de VPN connectie is.

[Thomzh]

Inmiddels heb ik de Properties van de IPv4 verbinding van de Ethernetadapter aangepast.

DNS #1: 149.210.151.132 (public IP van Server)
DNS #2: Open DNS

Op deze manier heb ik de AD server als primaire dns server en toch internet.

Het lijkt zo te werken, maar ik vraag me af of ik niet een beveiligingsgat heb,

Toen ik 10.0.0.1 als primaire DNS server deed werkte dat niet.

[sanfranjake]

Wil je alsjeblieft je bericht met de knop "wijzig" aanpassen als je zelf het laatste bericht geplaatst hebt, ipv er gelijk weer een bericht onder te plaatsen? Dubbelposten maakt het onoverzichtelijk en zien we liever niet hier

Maarrrrrr het verhaal wordt nu inderdaad ineens duidelijk. Je hebt een tweede interface waarop je een intern netwerk met dns-server hebt. Wat jij denk ik moet doen is in de instellingen van je dns-server naar het tabblad "Forwarders" gaan en daar de dns-servers van je internetprovider definieeren. Al zou je server met Root Hints (ga maar eens googlen) ook wel internet moeten krijgen.

Je poortje 53 open zetten zou ik alleen als test doen, nergens voor nodig.
Je moet gewoon zorgen dat je dns-server op de server de clients ook kan voorzien van internet-informatie, zodat je die hele 149.x.x.x en 208.67.x.x niet meer nodig hebt daar!!

[ Voor 17% gewijzigd door sanfranjake op 03-12-2013 18:16 ]

[Thomzh]

Voor ik daarmee verder ga, even voor mijn begrip. (Zoals je merkt weet ik weinig, maar wil ik graag leren), wat valt er te winnen, wat is het nadeel van dns via 149.x.x.x zoals nu?

Ik hoef niet binnenkort meer computers aan te melden op het domein, dus functioneel vind ik het zo prima. Is er een beveiligingsgat (poort 53 zeg je, heb ik niet handmatig geopend), en zo ja, wat is dat gat?

[akimosan]

Je client gebruikt DNS nog veel meer om AD info uit te halen. Ook om aan te melden of netwerkschijven te koppelen, etc.

Nu zal je client de ene keer queries doen naar je internet dns server en de andere keer naar je lokale dns server. Maar dat doet hij volkomen willekeurig. DNS werkt op basis van "round robin"

Je Windows client instellingen moeten eigenlijk ALTIJD naar een AD DNS server van je domein wijzen. Dit is zo'n beetje regel 1 in het boekje. Wil je leren? Neem dan ook zaken aan van mensen die het je in dit topic al meerdere malen vertellen. Het waarom kun je snel opzoeken.

Lees even wat links die verschijnen als je googelt:

https://www.google.nl/sea...NS+client+issues&safe=off

Zoals eerder gezegd kan je Domain Controller (DC) als deze verbonden is met Internet gewoon recursief DNS records opzoeken en deze weer teruggeven aan je client.

Client: "He DC. op welk adres zit Google.com?"
DC: "Huh? Jeetje man, geen idee. Zoek ik ff op: <doet een query op de hem bekende DNS servers>. Ah gevonden. Hiero:

Server: dc01
Address: 192.168.1.1

Non-authoritative answer:
Name: google.com
Addresses: 2a00:1450:4013:c01::66
74.125.136.113
74.125.136.102
74.125.136.139
74.125.136.100
74.125.136.138
74.125.136.101

Client: ah bedankt...Gaat ik ff lekker internetten...

Qua beveiliging port 53:

Als je port 53 (UDP en TCP) openzet met bijvoorbeeld port-forwarding op je router naar je DC doet, kan iedereen DNS queries doen naar je DC en zo informatie over je netwerk en AD infrastructuur achterhalen.

[Thomzh]

Dank beiden, ga ik mee verder!