locked
Windows2003Serverにて、ドメイン参加時にエラーが発生する RRS feed

  • 質問

  • いつもお世話になっております。

    ドメインサーバ(Windows2008 Server)に、Windows2003 Server をドメイン参加させる際に、以下のエラーが発生します。


     ドメインコントローラと通信ができません。

    詳細ボタンを押して内容を確認すると

     Host(A)レコードが見つからないか、DNSで登録されているアドレスが、ネットワークに接続されていません。

    と表示されます。

    設定間違いがあるかと思い、以下の内容を確認しました。

     ネットワーク情報

      IPアドレス

      DNSサーバアドレス

      DNSサフィックス

      WINSアドレス(未使用)

     ドメインサーバへの疎通確認(ping)

     ドメインサーバの名前確認(nslookup)

     コマンド操作

      ipconfig /flushdns

      ipconfig /registerdns

    Windows2003 Server をドメインへ参加させるにあたり、上記確認事項以外に確認する内容はありますでしょうか?


    以上

    2015年4月28日 10:33

回答

  • ---
    話しは変わってしまうかもしれませんが、ファイアウォールの設定にて、389(UDP)」が許可されていません。(誤って設定を削除しています)
    ---

    恐らくこれでしょう。
    UDP 389 は LDAP Ping と呼ばれるもので、クライアントは DNS で解決した DC に LDAP Ping を飛ばして応答が一番最初に来たものを認証先 DC として接続を試みます。
    この応答がないので認証先 DC が見つかっていない状況かと。

    2015年5月7日 12:25

すべての返信

  • 下記は参考にならないでしょうか。                                             https://social.technet.microsoft.com/Forums/ja-JP/5e93c271-708a-46ba-b61b-accf08376fc0/pc
    2015年4月28日 10:42
  • カディス様

    おはようございます。返信いただき、ありがとうございます。

    ドメインサーバにて、「net stop netlogon」→「net start netlogon」を実行しましたので、ドメイン参加サーバ(Windows2003)から確認を実施してみます。

    また本事象は、クライアント(Windows7)でも発生しておりますが、クライアントで実施した結果では改善しませんでした。

    クライアント側の「Netlogon」サービスが停止しているので、開始させようとしても開始できませんでした。(以下、表示されたメッセージ)

    ローカルコンピュータ上の Netlogon サービスは起動して停止しました。サービスの中には、はかのサービスやプログラムでしようされていない場合は自動的に停止するものがあります。

    クライアント側の「Netlogon」サービスは、ドメイン参加時に必要ないものでしょうか?(自分が使用しているクライアントでは起動しています)

    2015年5月7日 1:31
  • ドメインサーバ(ドメインコントローラー)でNetLogonサービスの再起動を実施されたのでしたら、DNSサーバ上にSRVレコード(あわせてAレコードも)が正しく作成されているかをご確認されたほうがよいでしょう。SRVレコードの詳細については下記URLを参照してください。

    参照URL)ドメイン コントローラの SRV DNS レコードの作成を確認する                        https://support.microsoft.com/en-us/kb/816587/ja?wa=wsignin1.0                                   

    また、クライアント側のNetlogonサービスもドメイン参加時必須のサービスとなりますので、起動しないのはおかしいと思います。該当するWindows7のイベントビューアにNetlogon関連のエラーが出ていないでしょうか。出ていればイベントソースやイベントIDなどから原因を切り分けていく必要がありそうです。
    2015年5月7日 3:52
  • カディス様

    お疲れ様です。返信ありがうございます。

    ドメインサーバ上の、SRV DNS レコードを確認しました。

     

    ・ドメインサーバ上の、DNSより、[前方参照ゾーン-msdcs.ドメイン名-dc-_sites-default-first-site-name-_tcp]と選択し「_kerberos、_ldap」 に、サーバ情報が存在する。

    ・「%SystemRoot%\System32\Config」以下の「Netlogon.dns」ファイル内に、サーバ情報が存在する。

    ・Nslookupコマンドにて、サーバ情報が表示される。

     

    またドメイン参加できないクライアント(Windows7)で、コマンド(net start netlogon)を実行すると、「サービスはエラーを報告しませんでした。」と表示されます。

    イベントビューアーでは、「カスタムビュー-管理イベント」に、エラーメッセージが表示されます。(このコンピューターはワークグループのメンバーとして構成されており、ドメインのメンバーとしては構成されていません。この構成で Netlogon サービスを実行する必要はありません。イベントIDは「3095」)

    上記メッセージから、ワークグループ環境では起動しないサービスとして認識し、再度ドメイン参加(システムのプロパティより、[コンピューター名-変更]と選択し、「所属するグループ」を「ドメイン」としてドメイン名を入力)を実施しましたが、ドメインに参加できませんでした。

    表示されたメッセージは、「ドメイン ”ドメイン名" の Active Directory ドメインコントローラー(AD DC)に接続できませんでした。 ドメイン名が正しく入力されていることを確認してください。名前が正しい場合は、[詳細]をクリックしてトラブルシューティング情報を調べてください。」と表示されます。

     

    詳細ボタンを押した際に表示される内容(一部省略)は、

    注意:この情報はネットワーク管理者向けのものです。(省略) ドメイン "ドメイン名" のドメインコントローラーを検索するために使用される DNS の Service Location(SRV)リソース レコードは正常に参照されました。

    クエリは、_ldap.tcp.dc._msdcs.ドメイン名 の SRV レコードに対するものでした

    クエリによって、次のドメイン コントローラーが識別されました

    ドメインサーバ上に登録されていた内容 ※複数行表示

     

    しかし、どのドメインコントローラーにもアクセスできませんでした。

    このエラーの一般的な原因として次のものがあります

    - ドメインコントローラーの名前を、IPアドレスにマップするための Host(A)または(AAAA) レコードが不足しているか、正しくないアドレスを含んでいます。

    - DNS に登録されているドメインコントローラーがネットワークに接続されていないか、実行されていません。

     

    との事です。

    長文となり申し訳ありませんが、参考情報等あれば、宜しくお願い致します。

    2015年5月7日 5:57
  • エラーメッセージにもある、ドメインコントローラーのAレコードがすべてDNSに登録されているかは確認されましたでしょうか。あわせて各ドメインコントローラーのAレコードに重複はないか、実際に設定されているIPアドレスと食い違っていないかなども確認したほうが良さそうです。できればクライアント側とドメインコントローラー側のネットワーク設定【IPアドレス、サブネットマスク、デフォルトゲートウェイ、優先&代替DNSサーバー、DNSサフィックス、NetBIOS設定(WINタブ)】を差し支えない範囲でご提示頂くと良いのですが・・・。ちなみにドメイン参加時の「ドメイン名」はFQDN(※※※.local、※※※.co.jpなど)で入力されていますか。

    2015年5月7日 8:33
  • カディス様

    お疲れ様です。返信ありがうございます。

     

    ドメインコントローラー上の、「Aレコード」については、すべて確認しましたが登録済みとなっていました。

    また重複レコードも確認しておりますが、重複しておりませんでした。

     

    ドメイン名は、FQDN(***.***.***.co.jp)で指定しています。

     

    話しは変わってしまうかもしれませんが、ファイアウォールの設定にて、389(UDP)」が許可されていません。(誤って設定を削除しています)

    本事象に影響するのではと考えておりますが、間違っていますでしょうか?

    2015年5月7日 9:25
  • ---
    話しは変わってしまうかもしれませんが、ファイアウォールの設定にて、389(UDP)」が許可されていません。(誤って設定を削除しています)
    ---

    恐らくこれでしょう。
    UDP 389 は LDAP Ping と呼ばれるもので、クライアントは DNS で解決した DC に LDAP Ping を飛ばして応答が一番最初に来たものを認証先 DC として接続を試みます。
    この応答がないので認証先 DC が見つかっていない状況かと。

    2015年5月7日 12:25
  • mu100様

    おはようございます。返信をいただき、ありがとうございます。

    389(UDP)の通信許可を行った所、問題なくドメイン参加する事ができました。


    ファイアウォールの設定間違いが原因であるにも関わらず、カディス様を含め、多くの方々よりアドバイスを頂きありがとうございます。

    今後も本フォーラムにて、多くのアドバイスを頂けますよう、宜しくお願い致します。

    2015年5月8日 0:48