[Windows 10] Beitritt zu Samba 4.3 AD nicht möglich – Netzwerkressource nicht mehr verfügbar

[sia]

Hi Leute,

Würde gerne ein Notebook mit Windows 10 v1607 meiner Samba 4.3.9 AD einverleiben.

Dazu habe ich den AD DC als primären DNS eingetragen und wollte über systempropertiescomputername mit einem Klick auf "Ändern" der Domäne beitreten. Nachdem ich allerdings das Passwort vom Domain-Administratorkonto eingegeben habe, kommt die Fehlermeldung:

Bei dem Versuch der Domäne "ad.example.com" beizutreten, trat der folgende Fehler auf:

Die angegebene Netzwerkressource bzw. das angegebene Gerät ist nicht mehr verfügbar.

Was läuft da schief?

EDIT: In der Ereignisanzeige:

Protokollname: System
Quelle: NetJoin

Fehler beim Beitritt des Computers "example-nb3" zur Domäne "ad.example.com". Fehlercode "55".

EDIT: Aus der netsetup.log:

11/08/2016 17:42:04:221 -----------------------------------------------------------------
11/08/2016 17:42:04:221 NetpValidateName: checking to see if 'EX-NB3' is valid as type 1 name
11/08/2016 17:42:04:221 NetpCheckNetBiosNameNotInUse for 'EX-NB3' [MACHINE] returned 0x0
11/08/2016 17:42:04:221 NetpValidateName: name 'EX-NB3' is valid for type 1
11/08/2016 17:42:04:252 -----------------------------------------------------------------
11/08/2016 17:42:04:252 NetpValidateName: checking to see if 'EX-NB3' is valid as type 5 name
11/08/2016 17:42:04:252 NetpValidateName: name 'EX-NB3' is valid for type 5
11/08/2016 17:42:04:252 -----------------------------------------------------------------
11/08/2016 17:42:04:252 NetpValidateName: checking to see if 'ad.example.org' is valid as type 3 name
11/08/2016 17:42:04:252 NetpValidateName: 'ad.example.org' is not a valid NetBIOS domain name: 0x7b
11/08/2016 17:42:04:331 NetpCheckDomainNameIsValid [ Exists ] for 'ad.example.org' returned 0x0
11/08/2016 17:42:04:331 NetpValidateName: name 'ad.example.org' is valid for type 3
11/08/2016 17:42:18:216 -----------------------------------------------------------------
11/08/2016 17:42:18:216 NetpDoDomainJoin
11/08/2016 17:42:18:216 NetpDoDomainJoin: using current computer names
11/08/2016 17:42:18:216 NetpDoDomainJoin: NetpGetComputerNameEx(NetBios) returned 0x0
11/08/2016 17:42:18:216 NetpDoDomainJoin: NetpGetComputerNameEx(DnsHostName) returned 0x0
11/08/2016 17:42:18:216 NetpMachineValidToJoin: 'EX-NB3'
11/08/2016 17:42:18:216 NetpMachineValidToJoin: status: 0x0
11/08/2016 17:42:18:216 NetpJoinDomain
11/08/2016 17:42:18:216 	HostName: EX-NB3
11/08/2016 17:42:18:216 	NetbiosName: EX-NB3
11/08/2016 17:42:18:216 	Domain: ad.example.org
11/08/2016 17:42:18:216 	MachineAccountOU: (NULL)
11/08/2016 17:42:18:216 	Account: ad.example.org\Administrator
11/08/2016 17:42:18:216 	Options: 0x25
11/08/2016 17:42:18:231 NetpValidateName: checking to see if 'ad.example.org' is valid as type 3 name
11/08/2016 17:42:18:231 NetpValidateName: 'ad.example.org' is not a valid NetBIOS domain name: 0x7b
11/08/2016 17:42:18:294 NetpCheckDomainNameIsValid [ Exists ] for 'ad.example.org' returned 0x0
11/08/2016 17:42:18:294 NetpValidateName: name 'ad.example.org' is valid for type 3
11/08/2016 17:42:18:294 NetpDsGetDcName: trying to find DC in domain 'ad.example.org', flags: 0x40001010
11/08/2016 17:42:18:763 NetpDsGetDcName: failed to find a DC having account 'EX-NB3$': 0x525, last error is 0x0
11/08/2016 17:42:18:763 NetpDsGetDcName: status of verifying DNS A record name resolution for 'authsrv.ad.example.org': 0x0
11/08/2016 17:42:18:763 NetpDsGetDcName: found DC '\\authsrv.ad.example.org' in the specified domain
11/08/2016 17:42:18:763 NetpJoinDomainOnDs: NetpDsGetDcName returned: 0x0
11/08/2016 17:42:18:763 NetpDisableIDNEncoding: using FQDN ad.example.org from dcinfo
11/08/2016 17:42:18:778 NetpDisableIDNEncoding: DnsDisableIdnEncoding(UNTILREBOOT) on 'ad.example.org' succeeded
11/08/2016 17:42:18:778 NetpJoinDomainOnDs: NetpDisableIDNEncoding returned: 0x0
11/08/2016 17:42:18:997 NetUseAdd to \\authsrv.ad.example.org\IPC$ returned 55
11/08/2016 17:42:18:997 NetpJoinDomainOnDs: status of connecting to dc '\\authsrv.ad.example.org': 0x37
11/08/2016 17:42:18:997 NetpJoinDomainOnDs: Function exits with status of: 0x37
11/08/2016 17:42:18:997 NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'ad.example.org' returned 0x0
11/08/2016 17:42:18:997 NetpJoinDomainOnDs: NetpResetIDNEncoding on 'ad.example.org': 0x0
11/08/2016 17:42:18:997 NetpDoDomainJoin: status: 0x37
11/08/2016 17:42:18:997 -----------------------------------------------------------------
11/08/2016 17:42:18:997 NetpDoDomainJoin
11/08/2016 17:42:18:997 NetpDoDomainJoin: using current computer names
11/08/2016 17:42:18:997 NetpDoDomainJoin: NetpGetComputerNameEx(NetBios) returned 0x0
11/08/2016 17:42:18:997 NetpDoDomainJoin: NetpGetComputerNameEx(DnsHostName) returned 0x0
11/08/2016 17:42:18:997 NetpMachineValidToJoin: 'EX-NB3'
11/08/2016 17:42:18:997 NetpMachineValidToJoin: status: 0x0
11/08/2016 17:42:18:997 NetpJoinDomain
11/08/2016 17:42:18:997 	HostName: EX-NB3
11/08/2016 17:42:18:997 	NetbiosName: EX-NB3
11/08/2016 17:42:18:997 	Domain: ad.example.org
11/08/2016 17:42:18:997 	MachineAccountOU: (NULL)
11/08/2016 17:42:18:997 	Account: ad.example.org\Administrator
11/08/2016 17:42:18:997 	Options: 0x27
11/08/2016 17:42:19:013 NetpValidateName: checking to see if 'ad.example.org' is valid as type 3 name
11/08/2016 17:42:19:013 NetpValidateName: 'ad.example.org' is not a valid NetBIOS domain name: 0x7b
11/08/2016 17:42:19:091 NetpCheckDomainNameIsValid [ Exists ] for 'ad.example.org' returned 0x0
11/08/2016 17:42:19:091 NetpValidateName: name 'ad.example.org' is valid for type 3
11/08/2016 17:42:19:091 NetpDsGetDcName: trying to find DC in domain 'ad.example.org', flags: 0x40001010
11/08/2016 17:42:19:560 NetpDsGetDcName: failed to find a DC having account 'EX-NB3$': 0x525, last error is 0x0
11/08/2016 17:42:19:575 NetpDsGetDcName: status of verifying DNS A record name resolution for 'authsrv.ad.example.org': 0x0
11/08/2016 17:42:19:575 NetpDsGetDcName: found DC '\\authsrv.ad.example.org' in the specified domain
11/08/2016 17:42:19:575 NetpJoinDomainOnDs: NetpDsGetDcName returned: 0x0
11/08/2016 17:42:19:575 NetpDisableIDNEncoding: using FQDN ad.example.org from dcinfo
11/08/2016 17:42:19:575 NetpDisableIDNEncoding: DnsDisableIdnEncoding(UNTILREBOOT) on 'ad.example.org' succeeded
11/08/2016 17:42:19:575 NetpJoinDomainOnDs: NetpDisableIDNEncoding returned: 0x0
11/08/2016 17:42:19:716 NetUseAdd to \\authsrv.ad.example.org\IPC$ returned 55
11/08/2016 17:42:19:716 NetpJoinDomainOnDs: status of connecting to dc '\\authsrv.ad.example.org': 0x37
11/08/2016 17:42:19:716 NetpJoinDomainOnDs: Function exits with status of: 0x37
11/08/2016 17:42:19:716 NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'ad.example.org' returned 0x0
11/08/2016 17:42:19:716 NetpJoinDomainOnDs: NetpResetIDNEncoding on 'ad.example.org': 0x0
11/08/2016 17:42:19:716 NetpDoDomainJoin: status: 0x37

 

[theSplit]

Aus deiner Log:
[src=text]11/08/2016 17:42:18:294 NetpDsGetDcName: trying to find DC in domain 'ad.example.org', flags: 0x40001010
11/08/2016 17:42:18:763 NetpDsGetDcName: >>>>>> failed to find a DC having account 'EX-NB3$': 0x525, <<<<<<<<< last error is 0x0[/src]

Darauf , ">>> <<<" solltest du dich also konzentrieren und den Error Code: "0x525".
DC steht wohl in diesem Fall für DomainController der keinen Account für die Maschine hat, in etwa oder nicht freigeschaltet wäre?


Zum Troubleshooting könnte auch das hier helfen:

You do not have permission to view link please Anmelden or Registrieren

und vielleicht auch noch interessant, die /usr/local/samba/var/smbd.log + /usr/local/samba/var/nmbd.log analysieren um zu sehen was bei einem versuchten Zugriff schief geht:
Ich quote jetzt absichtlich nicht, ist zu viel Text aus folgendem Link

You do not have permission to view link please Anmelden or Registrieren

Also irgendwas mit Benutzerauthentifizierung...

 

[sia]

Aber mein Passwort ist richtig und selbst wenn ich versuche, den Account automatisch anlegen zu lassen, bekomme ich denselben Fehler…

 

[theSplit]

Ich kenn die Technik jetzt nicht, ich hab nur das vor Augen was du gerade schreibst.

Was sagt denn die Samba-Log? - ich hab extra die korrekten Pfade dazu noch hinzugefügt.

Kommt eine Anfrage, was ist die Antwort auf den Client? - Vielleicht kannst du da auch mit den Log Levels in Samba experimentieren, zum Beispiel "3" - laut dem zweiten Link den ich dir gepostet habe, solltest du damit sehen wie der Server "intern" arbeitet bzw. vielleicht auch, wie die Anfrage verarbeitet wird.

Und wenn du die Log leerst und nur mal schaust was beim Verbindungsaufbau passiert und was Samba sagt, hilft dir das bestimmt weiter.

 

[sia]

Habe die RSAT auf einem Client installiert und jetzt kommt, wenn ich "Active Directory-Benutzer und -Computer" starten will:

Domäne "ad.example.org" konnte aufgrund folgenden Fehlers nicht gefunden werden:
Der RPC-Server ist nicht verfügbar.

Aber die Anmeldung funktioniert komischerweise, Passwörter ändern geht auch… Irgendwas stimmt da wohl nicht.

EDIT: Der RPC-Server ist da, wenn ich mit [kw]nmap -p135[/kw] von einem Client auf den Server schaue, wird der Port als offen angezeigt und auch [kw]netstat -tlpn[/kw] auf dem Server zeigt ihn mir an.

EDIT2: Das hier hat leider auch nicht funktioniert:

To disable SMBv2 and SMBv3 on the SMB client, run the following commands:
sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi
sc.exe config mrxsmb20 start= disabled

To enable SMBv2 and SMBv3 on the SMB client, run the following commands:
sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi
sc.exe config mrxsmb20 start= auto

(Quelle:

You do not have permission to view link please Anmelden or Registrieren

)

 

[theSplit]

Ist das Problem noch existent?

Mich würde mal die Ausgabe der Samba Log interessieren!
Vielleicht bekommst du dort nämlich genau die Informationen die du brauchst was bei einer Anfrage von Client auf den Server bzw. auf dem Server schief läuft?

Ist vielleicht etwas effektiver als auf dem Client "herumzuprobieren". Wenn du natürlich einsehen kannst das eine Anfrage überhaupt nicht stattfindet, hier noch etwas zu deinem speziellen Fehler:

You do not have permission to view link please Anmelden or Registrieren

Also, zum Beispiel, eine Firewall blockiert den RPC Port extern? Oder ein Windows Dienst deaktiviert?

 

[sia]

Weder Firewall noch gestoppter Dienst. Habe mir die log.samba mit log Level 5 schon gezogen, als du mich das erste mal daran erinnert hast, habe aber bisher keine neuen Erkenntnisse gewinnen können.

 

[theSplit]

Loglevel 5 ist wohl zum Debuggen für Entwickler und wenn ich richtig gelesen habe, wird da eine ganze Menge protokolliert werden was du gar nicht benötigen würdest.
Kannst du auf Level 3 runterstellen, die Log leeren und dann einfach einmal mit dem Client versuchen zu verbinden und die Ausgabe hier (maskiert) posten?

Ich würde mir mal gerne ansehen wie das aussieht und vielleicht finde ich ja etwas anderes was ins Auge springt um dir bzw. uns hier weiter zu helfen das Problem mit dir zu troubleshooten.