"Không thể liên hệ với bộ điều khiển miền Active Directory" [Đã giải quyết]
Mọi máy quản lý quản trị viên CNTT trong môi trường Active Directory đều có mặt ở đó. Bạn cố gắng thêm một máy tính vào miền Active Directory (AD) và nhận được lỗi “Không thể liên hệ được với bộ điều khiển miền Active Directory” đáng sợ. Trong bài viết này, hãy tìm hiểu các bước để chẩn đoán (và giải quyết) vấn đề này một cách hiệu quả.
Công cụ chỉ đọc MIỄN PHÍ quét quảng cáo của bạn và tạo nhiều báo cáo tương tác để bạn đo lường tính hiệu quả của chính sách mật khẩu trước cuộc tấn công vũ phu. Hãy tải xuống SpecopsPassword Auditor ngay bây giờ!
Lỗi này liên quan đến DNS. Vấn đề chính là máy tính không tìm được bản ghi DNS SRV thích hợp mà nó cần để tham gia miền AD.
Tôi đã tổng hợp một số bước để bạn làm theo nhằm khắc phục lỗi này và giúp máy tính của bạn kết nối với miền của bạn.
Đảm bảo bạn đang sử dụng đúng máy chủ DNS
Trước khi bạn đi quá xa vào hố thỏ, trước tiên hãy đảm bảo rằng bạn đang sử dụng đúng máy chủ DNS ngay từ đầu.
Active Directory và DNS có mối quan hệ đặc biệt. Bộ điều khiển miền đăng ký các bản ghi cụ thể trong máy chủ DNS mà họ biết. Chúng nằm trong vùng _ldap._tcp.dc.msdcs.
Để giải quyết vấn đề này, bạn cần sử dụng:
- Máy chủ DNS tích hợp AD
- Máy chủ DNS sao chép các bản ghi từ máy chủ DNS nhận biết AD
- Máy chủ DNS có chuyển tiếp được thiết lập để truy vấn máy chủ DNS tích hợp AD hoặc máy chủ DNS có bản ghi được sao chép
Để kiểm tra xem máy chủ DNS bạn đang sử dụng có phải là một trong những máy chủ nêu trên hay không, hãy chạy lệnh sau trong phiên PowerShell trên máy tính đã tham gia miền hiện có:
PS C:\> Get-DnsClientServerAddress
InterfaceAlias Interface Address ServerAddresses
Index Family
-------------- --------- ------- ---------------
Ethernet 9 IPv4 {10.0.0.101}
Ethernet 9 IPv6 {}
Loopback Pseudo-Interface 1 1 IPv4 {}
Loopback Pseudo-Interface 1 1 IPv6 {fec0:0:0:ffff::1, fec0:0:0:ffff::2, fec0:0:0:ffff::3}Phản hồi bạn nhận được trong cột ServerAddesses là các máy chủ DNS đang được máy tính đó sử dụng. Nếu không có ứng dụng khách miền khác để kiểm tra, bạn sẽ cần liên hệ với nhóm mạng của mình để biết thông tin này.
Bạn có thể sử dụng lệnh ghép ngắn Set-DnsClientServerAddress của PowerShell để thay đổi cài đặt máy khách DNS của máy tính hoặc thông qua hộp thoại Thuộc tính IPv4 cho card mạng của máy tính. Bạn có thể đạt được điều này bằng cách đi tới Bảng điều khiển -> Mạng -> Internet -> Kết nối mạng.
Khi ở trong cửa sổ Kết nối mạng, nhấp chuột phải vào card mạng, chọn Thuộc tính, chọn Giao thức Internet Phiên bản 4 (TCP/IPv4) và sau đó nhấp vào Thuộc tính.
Nếu mạng sử dụng Giao thức cấu hình máy chủ động (DHCP), hãy đảm bảo các tùy chọn Lấy địa chỉ IP tự động và Lấy địa chỉ máy chủ DNS tự động được chọn.
Nếu mạng của bạn không sử dụng DHCP thì hãy cập nhật các giá trị Máy chủ DNS ưa thích và Máy chủ DNS thay thế thành giá trị chính xác mà bạn có được trước đó.
Tìm lỗi thực sự
Nếu bạn đã xác nhận rằng máy tính của mình có đúng máy chủ DNS thì đã đến lúc tiến xa hơn một chút.
Khi bạn cố gắng kết nối một máy tính với một miền, lỗi “Không thể liên hệ với bộ điều khiển miền Active Directory” xuất hiện nhưng đó không phải là thông báo lỗi “đúng”. Bạn cần phải lặn sâu hơn một chút.
Bạn sẽ thấy trong hộp thoại báo lỗi có nút Chi tiết >>. Bấm vào đó. Điều này sẽ trả về thông tin chi tiết hơn cho phép bạn khắc phục lỗi này tốt hơn.
Bạn có thể chọn nội dung của hộp văn bản để sao chép và dán vào trình xem văn bản hoặc bạn có thể tìm thấy thông tin tương tự trong tệp C:\windows\debug\dcdiag.txt trên máy đó. Tệp này được Windows tạo khi xảy ra lỗi.
Văn bản lỗi chứa một số thông tin quan trọng. Tôi đã đánh số và in đậm từng mục này trong ví dụ bên dưới:
- Tên miền mà máy cho rằng bạn đã yêu cầu nó tham gia (1)
- Mã lỗi (2)
- Truy vấn DNS đã được thực hiện (3)
- (Các) máy chủ DNS mà máy đã truy vấn (nếu có) (4)
Lưu ý: Thông tin này dành cho quản trị viên mạng. Nếu bạn không phải là quản trị viên mạng của mình, hãy thông báo cho quản trị viên rằng bạn đã nhận được thông tin này, thông tin này đã được ghi trong tệp C:\windows\debug\dcdiag.txt.
Đã xảy ra lỗi sau khi truy vấn DNS cho bản ghi tài nguyên vị trí dịch vụ (SRV) dùng để định vị Bộ điều khiển miền Active Directory (AD DC) cho miền “carisbrookelabs.local”(1):
Lỗi là: “Tên DNS không tồn tại.”
(mã lỗi 0x0000232B RCODE_NAME_ERROR) (2)Truy vấn dành cho bản ghi SRV cho _ldap._tcp.dc._msdcs.carisbrookelabs.local (3)
Các nguyên nhân phổ biến gây ra lỗi này bao gồm:
Bản ghi DNS SRV cần thiết để định vị AD DC cho tên miền chưa được đăng ký trong DNS. Các bản ghi này được đăng ký tự động với máy chủ DNS khi AD DC được thêm vào miền. Chúng được AD DC cập nhật theo các khoảng thời gian đã định. Máy tính này được định cấu hình để sử dụng máy chủ DNS có địa chỉ IP sau:
8.8.4.4
8.8.8.8 (4)Một hoặc nhiều vùng sau không bao gồm ủy quyền cho vùng con của nó: carisbrookelabs.local
địa phương
. (vùng gốc)
0x0000267C DNS_ERROR_NO_DNS_SERVER
Lỗi này cho biết rằng không thể tìm thấy máy chủ DNS để thử truy vấn. Nó thậm chí còn không có cơ hội. Điều này thường là do không có kết nối mạng với máy chủ DNS.
Lưu ý rằng bạn có thể tham gia một máy tính mà không cần kết nối mạng được gọi là tham gia miền ngoại tuyến, nhưng điều đó nằm ngoài phạm vi của bài viết này.
Khắc phục sự cố kết nối mạng của bạn
Nếu bạn thấy thông báo lỗi này, bạn sẽ cần bắt đầu thực hiện một số khắc phục sự cố mạng.
- Kiểm tra xem bộ điều hợp mạng của bạn đã được bật chưa và bạn có thể kết nối với các tài nguyên mạng khác.
- Kiểm tra xem bạn đã cấu hình địa chỉ IP và máy chủ DNS chưa.
Bạn có thể kiểm tra địa chỉ IP và máy chủ DNS bằng cách chạy ipconfig /all.
Nếu bạn có địa chỉ IP và có thể truy cập các tài nguyên mạng khác, bạn sẽ cần kiểm tra kết nối giữa máy tính và máy chủ DNS.
Để làm như vậy, bạn có thể sử dụng lệnh ghép ngắn ping và Test-Connection của PowerShell. Kiểm tra kết nối với (các) máy chủ DNS bằng một trong hai tiện ích này. Nếu lưu lượng truy cập Giao thức thông báo điều khiển Internet (ICMP) được cho phép trên mạng, bạn sẽ nhận được phản hồi. Nếu xảy ra lỗi hoặc hết thời gian chờ, rất có thể bạn đã gặp phải một số loại sự cố mạng, chẳng hạn như định tuyến. Hãy trao đổi với nhóm kết nối mạng của bạn để giải quyết vấn đề, sau đó thử tham gia lại.
Kiểm tra kết nối DNS
Nếu bạn đã xác nhận kết nối mạng của mình đang hoạt động, tiếp theo bạn cần đảm bảo máy tính của mình có thể kết nối qua TCP/53 với máy chủ DNS.
Hãy thử sử dụng lệnh ghép ngắn PowerShell Resolve-DNSName với FQDN của miền bạn đang cố gắng tham gia. Điều này sẽ trả về một hoặc nhiều bản ghi máy chủ DNS:
PS C:\> Resolve-DNSName carisbrookelabs.local
Name Type TTL Section IPAddress
---- ---- --- ------- ---------
carisbrookelabs.local A 600 Answer 10.0.0.103
carisbrookelabs.local A 600 Answer 10.0.0.102
carisbrookelabs.local A 600 Answer 10.0.0.101Nếu bạn gặp lỗi thì bạn cần kiểm tra để chắc chắn rằng không có gì chặn lưu lượng IP trên cổng 53 (cổng được sử dụng cho lưu lượng DNS) giữa máy của bạn và máy chủ DNS.
Bạn có thể thực hiện kiểm tra đơn giản về khả năng kết nối trên cổng 53 bằng lệnh ghép ngắn Test-NetConnection (đừng nhầm lẫn với lệnh ghép ngắn Test-Connection):
PS C:\> Test-NetConnection -Port 53 -ComputerName <DNSSERVERHERE>
TrueBạn sẽ nhận được phản hồi Đúng nếu kết nối thành công hoặc Sai nếu kết nối không thành công. Lỗi có thể do tường lửa dựa trên mạng hoặc máy chủ lưu trữ trên máy chủ DNS.
0x0000232B RCODE_NAME_ERROR
Lỗi này có nghĩa là nó có thể tìm thấy máy chủ DNS nhưng không tìm thấy bản ghi SRV. Lỗi này yêu cầu xử lý sự cố nhiều hơn một chút.
Đảm bảo bạn đang sử dụng tên miền FQDN
Việc này có vẻ đơn giản nhưng hãy xác minh rằng tên bạn đã nhập khớp với tên miền đủ điều kiện (FQDN) của miền bạn đang cố gắng tham gia. Đây chỉ nên là tên miền, không phải tên máy chủ. Ví dụ: sử dụng carisbrookelabs.local chứ không phải WIN-3467RQTHJH5.carisbrookelabs.local.
Nếu có bất kỳ nghi ngờ nào, hãy kiểm tra tên miền của máy khách miền hiện có. Bạn có thể tìm thấy tên miền thích hợp bằng cách chạy lệnh PowerShell này trên máy khách miền hiện có.
PS51> (Get-CimInstance Win32_ComputerSystem).Domain
carisbrookelabs.localNếu bạn cố gắng sử dụng tên NETBIOS (contoso) so với FQDN (contoso.local), máy tính có thể tìm thấy miền nhưng Windows vẫn sẽ coi tên đó là FQDN.
Nếu bạn nhập tên NETBIOS và không có cơ sở hạ tầng WINS, bạn sẽ gặp phải lỗi mà chúng tôi đang cố gắng khắc phục. Luôn sử dụng FQDN thay vì tên NETBIOS.
Kiểm tra bản ghi DNS
Đối với bước này, bạn sẽ sử dụng lại Resolve-DNSName. Lần này sử dụng bản ghi DNS chính xác không được truy xuất khi bạn cố gắng kết nối máy của mình với miền. Sao chép và dán nó từ tệp dcdiag.txt được đề cập trong phần giới thiệu hoặc bản sao của văn bản lỗi bạn đã lấy trước đó. Điều này sẽ tránh mọi lỗi chính tả có dấu gạch dưới và dấu gạch ngang.
Lệnh của bạn sẽ trông giống như thế này:
PS C:\> Resolve-DNSName _ldap._tcp.dc._msdcs.carisbrookelabs.local
Name Type TTL Section PrimaryServer NameAdministrator SerialNumber
---- ---- --- ------- ------------- ----------------- ------------
_msdcs.carisbrookelabs.loca SOA 3600 Authority WIN-3467RQTHJH5.carisbrooke hostmaster.carisbrookelabs. 419
l labs.local localSử dụng công cụ Kiểm tra mật khẩu Specops miễn phí để quét Active Directory của bạn và xác định các lỗ hổng liên quan đến mật khẩu, bao gồm hơn 930 triệu mật khẩu bị xâm phạm đã biết. Hãy tải xuống ngay hôm nay!
Nếu bạn nhận được Tên DNS không tồn tại dưới dạng phản hồi cho lệnh này thì vấn đề của bạn là ở DNS.
- Đảm bảo bạn đang sử dụng đúng máy chủ DNS
- Đảm bảo các hồ sơ liên quan chưa bị xóa
Nếu bạn nhận được phản hồi tích cực cho Resolve-DNSName _msdcs. nhưng nhận được tên DNS không tồn tại từ Resolve-DNSName _ldap._tcp.dc. _msdcs. thì bản ghi bị thiếu.
Đăng ký lại bản ghi DNS của bộ điều khiển miền của bạn bằng lệnh ipconfig /registerdns trên mỗi DC. Có thể mất vài phút để hồ sơ xuất hiện.
Sau khi bạn có thể xác nhận sự hiện diện của (các) bản ghi DNS được yêu cầu bằng cách sử dụng Resolve-DNSName thì bạn đã sẵn sàng.
Bản tóm tắt
Trong bài viết này, bạn đã tìm hiểu một số bước cần thử khi khắc phục lỗi “Không thể liên hệ với bộ điều khiển miền Active Directory”. Không thể đề cập hết mọi tình huống trong một bài viết như thế này, nhưng tôi hy vọng quy trình này sẽ hiệu quả với bạn và đưa bạn đi đúng hướng!
Đọc thêm
- DNS và AD DS trên Microsoft Docs
- Kiểm tra kết nối: Ping Remote lưu trữ theo cách PowerShell
- Lệnh ghép ngắn Resolve-DNSName trên Microsoft Docs
- Sử dụng Lệnh ghép ngắn PowerShell Test-NetConnection trên Windows