https://www.opennet.ru/openforum/vsluhforumID14/2704.html Сервер Samba 3.6 на FreeBSD 10.1, контроллер домена AD1 на Windows 2003. <br>Всё работает, доменные пользователи нормально заходят на шары, в Cамбе настроено:<br>security = ads<br>realm=MYDOMAIN.RU<br><br>Поднял второй контроллер AD2, тоже на 2003-м.<br>При отключении AD1 от сети, самбовский сервер перестаёт пускать пользователей. <br>Остальные ресурсы сети нормально авторизуются. <br>Пробовал на самбовском сервере ткнуться через <br>ntlm_auth --username myadminname<br>- действительно не авторизует...<br>Куда смотреть?<br><br>В /etc/resolv.conf прописаны IP обоих контроллеров - AD1 и AD2 (на них одна и та же зона DNS)<br><br>Ещё такая штука: <br>Нет файла /etc/krb5.conf (сервер мне в наследство достался...) <br>Я нашёл только тот "конфиг" который автоматом сделался: /var/db/samba/smb_krb5/krb5.conf.MYDOMAIN.RU, в нём:<br>[libdefaulys]<br>default_realm=MYDOMAIN.RU<br>//дальше идут три строчки с ключами<br><br>[realms]<br>MYDOMAIN.RU={<br>kdc=192.168.1.2 (это AD1)<br>kdc=192.168.1.3 (это AD2) <br>kdc=192.168.1.3 (это AD2)<br>}<br> https://www.opennet.ru/openforum/vsluhforumID14/2704.html#11 Wed, 28 Jun 2017 11:36:12 GMT <br>&gt; В общем у меня в голове каша... кто поможет привести серое вещество <br>&gt; в порядок?<br><br>Да всё просто: без билета samba аутентифицирует по ntlm не по kerberos, а в этом случае она не ищет в DNS SRV записи. Вобщем в той статье что я давал написано, что для клиентов не понимающих SRV записи имеет смысл иметь A записи для домена, указывающие на сервера. Например<br>MYDOMAIN.LOCAL IN A 192.168.0.1<br>MYDOMAIN.LOCAL IN A 192.168.0.3<br>Или может для ntlm режима происходит поиск по WINS.<br> <br><br> https://www.opennet.ru/openforum/vsluhforumID14/2704.html#10 Thu, 22 Jun 2017 11:00:41 GMT ЗАРАБОТАЛО!!! <br>Правда, я не понимаю в чём дело... :(<br><br>запросил <br>#klist <br>и очередной раз увидел, что билет просрочен. В общем, он в последнее время постоянно просрочен и почему-то не обновляется, но при этом всё работает.<br>Выключил AD1, и сделал<br>#kinit -p admin@MYDOMAIN.RU<br>Успешно получил билет. После чего сразу же успешно зашёл на самбовский сервер при по-прежнему отключенном AD1 и работающем AD2 !!! :)<br><br>Перерегистрировать в домене я понятное дело не стал.<br><br>То есть, билет для авторизации не нужен, но должен работать сервер, который его выдавал... <br>Тогда получается, что в порядке вещей, что при выключении контроллера домена, который выдал билет, самба перестаёт пускать клиентов пока билет не обновится на каком-то из рабочих контроллеров AD? Тогда выходит, что резервирование контроллеров AD при наличии самбы в Сети - чисто условное, без пинка не взлетит...<br><br>В общем у меня в голове каша... кто поможет привести серое вещество в порядок?<br><br>PS:<br>И почему билет не продляется автоматически я пока тоже https://www.opennet.ru/openforum/vsluhforumID14/2704.html#9 Thu, 22 Jun 2017 10:30:43 GMT &gt; Должны быть DNS записи как в пункте "Пример регистрации имен" вот этой <br>&gt; статьи http://itband.ru/2010/03/active-directory-works-with-dns/. По ним и происходит <br>&gt; поиск служб Active Directory.<br><br>Насколько смог, разобрался в дереве DNS Manager на виндовом сервере - эти четыре записи из статьи у меня есть.<br><br>Запросил dig: <br>#dig -t srv _ldap._tcp.mydomain.ru _kerberos._tcp.mydomain.ru _ldap._tcp.dc._msdcs.mydomain.ru _kerberos._tcp.dc._msdcs.mydomain.ru<br><br>Вот его вывод, только мусор вырезал:<br><br>;; QUESTION SECTION:<br>;_ldap._tcp.mydomain.ru. IN SRV<br>;; ANSWER SECTION:<br>_ldap._tcp.mydomain.ru. 600 IN SRV 0 100 389 ad2.mydomain.ru.<br>_ldap._tcp.mydomain.ru. 600 IN SRV 0 100 389 ad1.mydomain.ru.<br><br>;; QUESTION SECTION:<br>;_kerberos._tcp.mydomain.ru. IN SRV<br>;; ANSWER SECTION:<br>_kerberos._tcp.mydomain.ru. 600 IN SRV 0 100 88 ad2.mydomain.ru.<br>_kerberos._tcp.mydomain.ru. 600 IN SRV 0 100 88 ad1.mydomain.ru.<br><br>;; Q https://www.opennet.ru/openforum/vsluhforumID14/2704.html#8 Thu, 22 Jun 2017 08:59:02 GMT &gt;[оверквотинг удален]<br>&gt; ad2.mydomain.ru. 3600 IN A 192.168.1.3 <br>&gt; mail.mydomain.ru. 3600 IN A 192.168.1.22 <br>&gt; ;; Query time: 0 msec <br>&gt; ;; SERVER: 192.168.1.3#53(192.168.1.3) <br>&gt; ;; WHEN: чт июн 22 10:34:46 MSK 2017 <br>&gt; ;; MSG SIZE rcvd: 273 <br>&gt; PS: <br>&gt; ad4 - это новый контроллер домена, 2012-й, на который я буду переползать. <br>&gt; Там только DNS, в AD пока не вводил.<br>&gt; Если ещё что-то вывести - скажи что именно.<br><br>Должны быть DNS записи как в пункте "Пример регистрации имен" вот этой статьи http://itband.ru/2010/03/active-directory-works-with-dns/. По ним и происходит поиск служб Active Directory.<br><br>&gt;[оверквотинг удален]<br>&gt;&gt; Я думаю через какой контроллер ты вводил в домен, к тому самба <br>&gt;&gt; и привязана. Введёшь через вторичный, будет всё наоборот - с ним <br>&gt;&gt; будет работать а с первичным нет.<br>&gt; Класс... и на кой тогда вообще резервные контроллеры домена и AD... Только <br>&gt; для Винды?<br>&gt; Вообще, я обычно ввожу не через контроллер, а из строки самого сервера <br>&gt; с самбой, что-то вроде этого: <br>&gt; net https://www.opennet.ru/openforum/vsluhforumID14/2704.html#7 Thu, 22 Jun 2017 08:05:42 GMT Да, роли глобального каталога не было. Добавил. Не помогло:<br><br># wbinfo -t<br>checking the trust secret for domain GM via RPC calls failed<br>error code was NT_STATUS_DOMAIN_CONTROLLER_NOT_FOUND (0xc0000233)<br>failed to call wbcCheckTrustCredentials: WBC_ERR_AUTH_ERROR<br>Could not check secret<br><br><br>Может репликация какая-то не прошла, не знаю как проверить...<br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br> https://www.opennet.ru/openforum/vsluhforumID14/2704.html#6 Thu, 22 Jun 2017 07:52:07 GMT &gt;Я бы хотел посмотреть что он отдает, а именно записи касающиеся сервисов AD2.<br><br>Вывод dig:<br><br>; &lt;&lt;&gt;&gt; DiG 9.10.1 &lt;&lt;&gt;&gt; mydomain.ru any<br>;; global options: +cmd<br>;; Got answer:<br>;; -&gt;&gt;HEADER&lt;&lt;- opcode: QUERY, status: NOERROR, id: 34954<br>;; flags: qr aa rd ra; QUERY: 1, ANSWER: 8, AUTHORITY: 0, ADDITIONAL: 5<br><br>;; OPT PSEUDOSECTION:<br>; EDNS: version: 0, flags:; udp: 1280<br>;; QUESTION SECTION:<br>;mydomain.ru.INANY<br><br>;; ANSWER SECTION:<br>mydomain.ru.600INA192.168.1.3<br>mydomain.ru.600INA192.168.1.2<br>mydomain.ru.3600INNSad4.mydomain.ru.<br>mydomain.ru.3600INNSad1.mydomain.ru.<br>mydomain.ru.3600INNSad2.mydomain.ru.<br>mydomain.ru.3600INSOAad2.mydomain.ru. . 45531 900 600 86400 3600<br>mydomain.ru.3600INMX10 mail.mydomain.ru.<br>mydomain.ru.0INTYPE65281 \# 20 00000000000000020000038400000001C0A86407<br><br>;; ADDITIONAL SECTION:<br>ad4.mydomain.ru.3600INA192.168.1.9<br>ad1.mydomain.ru.3600INA192.168.1.2<br>ad2.mydomain.ru.3600INA192.168.1.3<br>mail.mydomain.ru.3600INA1 https://www.opennet.ru/openforum/vsluhforumID14/2704.html#5 Wed, 21 Jun 2017 17:46:14 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt; В /etc/resolv.conf прописаны IP обоих контроллеров - AD1 и AD2 (на них <br>&gt;&gt;&gt; одна и та же зона DNS) <br>&gt;&gt; Надо точно быть уверенным считав на сервере dig MYDOMAIN.RU ANY <br>&gt;&gt; Причем должны быть записи для dc2. Скорее всего samba не находит контроллер <br>&gt;&gt; домена по DNS.<br>&gt; dig нормально отдаёт зону, причём отвечает именно AD2 (я его первым поставил <br>&gt; в resolv.conf) <br>&gt;&gt; Лучше смотреть wbinfo -t <br>&gt; Сделал - в ответ молчание :( <br>&gt; Эм... и что может быть?<br><br>Я думаю через какой контроллер ты вводил в домен, к тому самба и привязана. Введёшь через вторичный, будет всё наоборот - с ним будет работать а с первичным нет.<br> https://www.opennet.ru/openforum/vsluhforumID14/2704.html#4 Wed, 21 Jun 2017 17:40:03 GMT &gt; При отключённом AD1: <br>&gt;&gt;&gt; В /etc/resolv.conf прописаны IP обоих контроллеров - AD1 и AD2 (на них <br>&gt;&gt;&gt; одна и та же зона DNS) <br>&gt;&gt; Надо точно быть уверенным считав на сервере dig MYDOMAIN.RU ANY <br>&gt;&gt; Причем должны быть записи для dc2. Скорее всего samba не находит контроллер <br>&gt;&gt; домена по DNS.<br>&gt; dig нормально отдаёт зону, причём отвечает именно AD2 (я его первым поставил <br>&gt; в resolv.conf) <br><br>Я бы хотел посмотреть что он отдает, а именно записи касающиеся сервисов AD2.<br><br>&gt;&gt; Лучше смотреть wbinfo -t <br>&gt; Сделал - в ответ молчание :( <br>&gt; Эм... и что может быть? https://www.opennet.ru/openforum/vsluhforumID14/2704.html#3 Wed, 21 Jun 2017 17:23:25 GMT Не силён в АД, но может в этом случае имеет значение, является ли AD2 глобальным каталогом?<br>