erro de autenticação no WS2012 (falha na relação de confiança)

Question

Dada a seguinte configuração de laboratório:

HOST1 on Windows Server 2012 R2 (host running Hyper-V, joined test.local domain, static IP)
DC1 on Windows Server 2012 (VM under Hyper-V on HOST1, AD and DNS roles, all defaults with test.local domain)
DC2 on Windows Server 2012 (VM under Hyper-V on HOST1, secondary AD)
DHCP1 on Windows Server 2012 (VM under Hyper-V on HOST1, DHCP role)
HOST2 on Windows Server 2012 R2 (host running Hyper-V, joined test.local domain, static IP)
DC3 on Windows Server 2012 (VM under Hyper-V on HOST2, secondary AD)
DHCP2 on Windows Server 2012 (VM under Hyper-V on HOST2, DHCP role)

Ambos os hosts na mesma sub-rede e roteador doméstico, todos os firewalls desativados. Primeiro instalei os hosts físicos e, em seguida, as VMs. Funções instaladas, criei novo domínio, juntei todas as VMs, juntei-me aos hosts, reiniciei algumas vezes, tudo bem.

Problema: Ao tentar RDP para HOST1 ontem a partir da minha caixa do Windows 8.1, como de costume com o usuário Admin de domínio (teste \ Administrador), não há alegria. A conexão é aceita, mas eu aceito o certificado, a conexão RDP é aberta e uma mensagem na máquina remota informa: "Outro usuário A relação de confiança entre esta estação de trabalho e o domínio principal falhou". e desconecta em 30 segundos ou mais.

Se eu for com a conta de administrador local (HOST1 \ Administrator), posso fazer o login bem. Além disso, o logon no HOST2 com o mesmo usuário Admin do domínio (test \ Administrator) é permitido.

Capaz de consertar (às vezes!) reiniciando ambos os hosts algumas vezes. Portanto, parece que os computadores e as contas ainda estão bem no AD (não é necessário voltar ou redefinir as senhas).

Por que isso acontece? Por onde começar com a solução de problemas? Tentando entender a causa raiz e não apenas uma solução rápida.

    

Answer 1

Verifique as coisas simples primeiro. Certifique-se de que os horários coincidam em todos os computadores (eles devem desde que é Hyper-V, mas é uma coisa rápida para verificar). A autenticação Kerberos pode falhar se não o fizer, e um logon com falha pelo computador pode estar enviando a mensagem de confiança quando a confiança não é realmente o problema. Além disso, verifique se os servidores DNS especificados nas configurações de IP do host que você configurou estaticamente são os DCs, pelo mesmo motivo.

Depois disso, tente iniciar sua sessão RDP conectando por endereço IP em vez de nome do host. Se isso funcionar, você terá um problema com certificados ou negociará o protocolo de segurança usado na conexão.

Você disse que precisa aceitar o certificado antes de se conectar. Você pode fornecer o motivo pelo qual está sendo solicitado a aceitá-lo? Se o certificado for emitido pelo domínio, ele já deve ser confiável.