Relação de confiança quebrada não corrigida mesmo depois de sair e ingressar no domínio com novo nome de computador

Question

Estou tendo um problema com um laptop recentemente reinstalado com o Win 7 Enterprise. O computador está reclamando de uma relação de confiança interrompida quando tento conceder acesso local aos usuários do domínio na máquina.

Eu fiz o seguinte (duas vezes, usando um nome diferente a cada vez) e isso não resolve o problema:

1. Como administrador de domínio, saia do domínio e participe de grupos de trabalho: WORKGROUP.
2. Reinicialize.
3. Como administrador do domínio, participe do domínio usando o novo nome do computador.
4. Reinicialize.
5. Como administrador de domínio, adicione um usuário de domínio como administrador local.
6. Erro: "A relação de confiança entre esta estação de trabalho e o domínio principal falhou".

Isso não faz sentido para mim. Pelo que entendi, o processo acima é a maneira apropriada de corrigir esse problema.

Até agora, outros sintomas que experimentei são:

A máquina do cliente diz que não consegue alcançar o domínio. Enquanto isso, no servidor, vejo o EventID 5723 do NETLOGON:

The session setup from the computer [name_of_computer] failed because there is no trust account in the security database for this computer. The name of the account referenced in the security database is [name_of_computer]$.

Incapacidade de fazer ping de hosts por nome de host quando ingressou no domínio. Quando estou fora do domínio, posso fazer ping em hosts muito bem.

nslookup [fqdn] retorna o valor adequado para ambos os controladores de domínio e nsloookup [DC hostname] retorna o IP adequado para o controlador de domínio.

Eu verifiquei se os servidores DNS estão sendo atribuídos adequadamente aos clientes, e eles estão.

Eu também não acredito que tenha servidores WINS distribuindo informações incorretas de NS. Nenhum dos controladores de domínio tem essa função instalada (embora, se alguém tiver uma maneira definitiva de verificar servidores WINS, isso pode ser útil).

Alguém pode fornecer mais algumas etapas de solução de problemas?

    

Answer 1

Sua próxima etapa de solução de problemas é examinar o DC EventLogs para qualquer coisa útil e, depois disso, você vai querer descobrir por que o computador não consegue "alcançar o domínio".

Você pode querer reverter a ordem deles, e eles podem levá-lo ao mesmo ponto, mas procurar erros no EventLog geralmente é mais fácil do que solucionar problemas na sua rede, e é por isso que eu recomendo começar por lá.

Por acaso, se o computador não conseguir "alcançar o domínio", como você poderá ingressar no domínio? Parece-me que não está aderindo corretamente ao domínio, e é por isso que a relação de confiança ainda está quebrada. Não vi isso antes, honestamente ... mas você pode tentar mudar o nome dele quando ele for associado a um domínio para testar essa ideia. Veja se o nome muda ou não no ADUC (e veja se ele muda em todos os seus CDs, ou não - talvez haja um problema de replicação que esteja impedindo que o domínio reconheça a nova conta do computador). Enquanto você está lá, você pode querer verificar e certificar-se de que as várias contas de computador que você criou quando "reingressar" realmente aparecem no AD. Eu estou apostando que eles não fizeram.

    

Answer 2

Como você não pode fazer o ping depois de ingressar no domínio, o problema está em algum lugar na pilha de rede e não tem nada a ver com a relação de confiança em si. (Isso significa que as etapas de solução de problemas comuns para erros de relação de confiança, como reingressar no domínio, não se aplicam.)

Minha aposta é que as configurações de domínio do Firewall do Windows estão confusas. Para confirmar isso, desligue o Firewall do Windows ( brevemente! ) e veja se isso permite fazer ping. Em caso afirmativo, verifique as configurações ou tente usar a opção "Restaurar padrões" no painel de controle do Firewall do Windows.

    

Answer 3

Você marcou a caixa "Alterar sufixo DNS principal quando a associação ao domínio é alterada"?

    

Answer 4

1. atualize os drivers na NIC da estação de trabalho local
2. exclua o computador da atualização do AD
3. depois, adicione novamente ao domínio ...

Se isso não funcionar, verifique o GPO a seguir.