Problema da área de trabalho remota no Windows Server 2008 R2

Question

Revisada esta questão para ser mais concisa, consolidando várias revisões.

Sintomas:

De um cliente do Windows 7 membro do domínio:

• Credenciais de domínio para um controlador de domínio = > sucesso
• Credenciais de domínio para um servidor membro (por nome de host ou FQDN) = > sucesso
• Credenciais de domínio para um servidor membro (por IP) = > falhar
• Credenciais locais para um servidor membro (por qualquer um dos dois) = > sucesso

De um cliente do Windows 7 que não seja membro do domínio:

• Credenciais de domínio para um controlador de domínio = > sucesso
• Credenciais de domínio para um servidor membro = > falhar
• Credenciais locais para um servidor membro = > sucesso
• (comportamento idêntico de um cliente Mac RDC 2.1)

Detalhes da configuração do servidor:

• Windows Datacenter do Windows 2008 R2 com SP1
• O domínio em questão é um subdomínio de um domínio do Windows 2008 (raiz da floresta).
• O Root tem DCs no Site A e no Site B, o subdomínio possui apenas DCs no Site B.
• O RDP está operando normalmente em todos os servidores-membros e DCs raiz.
• Nenhuma configuração da área de trabalho remota é definida pelos GPOs.
• A autenticação no nível de rede está ativada; todos os clientes são compatíveis e o handshake de troca de certificados / SSL é concluído com êxito.
• Não detecta erros no log de netlogon.

Answer 1

1. Se você estiver vendo SIDs em grupos locais, seu DNS ou acesso ao AD será desordenado desse servidor para o IMO do domínio pai ou secundário. O acesso RDP pode ser um obstáculo e a verdadeira questão é a conectividade adequada ao AD. Você tem eventos de log de eventos falando sobre como não conseguir resolver a conta, etc? Em um servidor saudável, você nunca deve ver o IMO do SID (a menos que as contas sejam excluídas).
2. É possível que um GPO esteja afetando a diretiva de segurança de servidores integrantes "permitir logon pelos Serviços de Área de Trabalho Remota" ou o "log de negação através de Serviços de Área de Trabalho Remota" geralmente esquecido dentro da configuração do GPO do computador. Você pode ficar de fora do primeiro ou ser adicionado ao segundo para servidores GPO, então isso pode ser substituído no nível do contêiner DC pela "diretiva de controladores de domínio padrão". Execute os Resultados da Diretiva de Grupo em um servidor membro como você e veja o que é exibido:

computer config > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignments > two settings in quotes above

    

Answer 2

Vejo que isso já foi mencionado, mas também devo dizer que parece que um GPO está negando seu acesso ao RDP.

Tente executar a modelagem de GPO do GPMC em cada um dos servidores membros como administrador de domínio e veja o que os GPOs devem estar aplicando. Você poderá ver o relatório e informar quais configurações são aplicadas ao usuário e ao computador. Além disso, faça o login no console e observe as configurações da política local e veja se o login do GPO foi negado lá.

Se tudo isso for inconclusivo, tente ativar a depuração do netlogon e veja se, ao tentar fazer login, você obtém quaisquer erros lá.