Пользователи не проходят аутентификацию.

[Eviless]

Сегодня с утра пришла на работу. Юзвери начали кричать, что не работает интернет. Пытаюсь зайти в Kerio(версия 6.2.1) пароль не подходит. С помощью файла UserDB убрала пароль у админки. Зашла. В итоге после нескольких часов секса с фаерволом получилась такая картина: Все юзеры домена ( ххх.local ) не пропускаются аутентификацией в инет. Все юзеры в Local User Database чувствуют себя отлично. создала временный логпасс.. но нужно вернуть все как было ибо учитывается трафик по каждому юзеру. Как вы думаете, господа в чем проблема может быть? Поиск результатов не дал к сожалению.

[С.С. Горбунков]

Eviless,
настройки бы увидеть надо. ipconfig /all, ТП, авторизация, соединение с контроллером домена.. ну в общем подробности.

[Eviless]

ну ипконфиг то нафиг.. все работало. настройки не менялись.. вот логи (эроры) именно в это время 20 числа в 9.20 все полетело:

[18/Aug/2008 18:02:56] (8503:85) Active Directory/LDAP error: kvs.lan: Таймаут
[18/Aug/2008 18:03:05] (8503:85) Active Directory/LDAP error: kvs.lan: Таймаут
[18/Aug/2008 18:03:15] (8503:85) Active Directory/LDAP error: kvs.lan: Таймаут
[20/Aug/2008 09:20:55] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[20/Aug/2008 09:24:27] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[20/Aug/2008 09:51:39] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[20/Aug/2008 10:13:17] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.

еще вопрос что таке ТП? и какие еще нужны подробности)

[С.С. Горбунков]

Eviless, на главной странице что написано?

Уважаемые участники форума! СНАЧАЛА ПРОЧТИТЕ [Для просмотра данной ссылки нужно зарегистрироваться]

А ПЕРЕД ТЕМ КАК ЗАДАТЬ СВОЙ ВОПРОС ОБЯЗАТЕЛЬНО! ЧИТАТЬ [Для просмотра данной ссылки нужно зарегистрироваться] В противном случае неоформленные, и нерасписанные вопросы и темы будут закрываться!

[Alex71]

Цитата:

Сообщение от Eviless

[18/Aug/2008 18:02:56] (8503:85) Active Directory/LDAP error: kvs.lan: Таймаут

У вас четко написано. Керия не может получить доступ к АД и соответственно авторизовать пользователей. Ройте в этом направлении (контроллер домена, настройки керии или канал между ними).

[С.С. Горбунков]

с контроллера(ов) домена еще надо dcdiag и netdiag, удостовериться в нормальной работе контроллера(ов)

[Donkey]

Eviless, ждем правила

[Eviless]

вот диагностика...

C:\Program Files\Support Tools>dcdiag
Domain Controller Diagnosis
Performing initial setup:
   Done gathering initial info.
Doing initial required tests
   Testing server: Default-First-Site\DC1
      Starting test: Connectivity
         ......................... DC1 passed test Connectivity
Doing primary tests
   Testing server: Default-First-Site\DC1
      Starting test: Replications
         ......................... DC1 passed test Replications
      Starting test: NCSecDesc
         ......................... DC1 passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC1 passed test NetLogons
      Starting test: Advertising
         ......................... DC1 passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DC1 passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DC1 passed test RidManager
      Starting test: MachineAccount
         ......................... DC1 passed test MachineAccount
      Starting test: Services
         ......................... DC1 passed test Services
      Starting test: ObjectsReplicated
         ......................... DC1 passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DC1 passed test frssysvol
      Starting test: frsevent
         ......................... DC1 passed test frsevent
      Starting test: kccevent
         ......................... DC1 passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0xC0040037
            Time Generated: 08/21/2008   14:37:31
            Event String: The file system structure on the disk is corrupt
         ......................... DC1 failed test systemlog
      Starting test: VerifyReferences
         ......................... DC1 passed test VerifyReferences
   Running partition tests on : TAPI3Directory
      Starting test: CrossRefValidation
         ......................... TAPI3Directory passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... TAPI3Directory passed test CheckSDRefDom
   Running partition tests on : ForestDnsZones
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom
   Running partition tests on : DomainDnsZones
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom
   Running partition tests on : Schema
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom
   Running partition tests on : Configuration
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom
   Running partition tests on : kvs
      Starting test: CrossRefValidation
         ......................... kvs passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... kvs passed test CheckSDRefDom
   Running enterprise tests on : kvs.lan
      Starting test: Intersite
         ......................... kvs.lan passed test Intersite
      Starting test: FsmoCheck
         ......................... kvs.lan passed test FsmoCheck
C:\Program Files\Support Tools>netdiag
.....................................
    Computer Name: DC1
    DNS Host Name: dc1.kvs.lan
    System info : Microsoft Windows Server 2003 (Build 3790)
    Processor : x86 Family 6 Model 15 Stepping 13, GenuineIntel
    List of installed hotfixes :
        KB888111Srv2k3
        Q147222
 
Netcard queries test . . . . . . . : Failed
    GetStats failed for 'Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC'. [ERRO
R_INVALID_FUNCTION]
    [FATAL] - None of the netcard drivers provided satisfactory results.
 
Per interface results:
    Adapter : ?юфъы?ўхэшх яю ыюъры№эющ ёхЄш
        Netcard queries test . . . : Failed
        NetCard Status:          UNKNOWN
        Host Name. . . . . . . . . : dc1
        IP Address . . . . . . . . : 192.168.0.1
        Subnet Mask. . . . . . . . : 255.255.255.0
        Default Gateway. . . . . . : 192.168.0.3
        Dns Servers. . . . . . . . : 192.168.0.1
                                     81.222.84.2
 
        AutoConfiguration results. . . . . . : Passed
        Default gateway test . . . : Passed
        NetBT name test. . . . . . : Passed
        WINS service test. . . . . : Skipped
            There are no WINS servers configured for this interface.
 
Global results:
 
Domain membership test . . . . . . : Passed
 
NetBT transports test. . . . . . . : Passed
    List of NetBt transports currently configured:
        NetBT_Tcpip_{12C873AE-A2DB-4CAC-99CB-52CBE2F56F8E}
    1 NetBt transport currently configured.
 
Autonet address test . . . . . . . : Passed
 
IP loopback ping test. . . . . . . : Passed
 
Default gateway test . . . . . . . : Passed
 
NetBT name test. . . . . . . . . . : Passed
 
Winsock test . . . . . . . . . . . : Passed
 
DNS test . . . . . . . . . . . . . : Passed
    PASS - All the DNS entries for DC are registered on DNS server '192.168.0.1'
 and other DCs also have some of the names registered.
    [WARNING] The DNS entries for this DC are not registered correctly on DNS se
rver '81.222.84.2'. Please wait for 30 minutes for DNS server replication.
 
Redir and Browser test . . . . . . : Passed
    List of NetBt transports currently bound to the Redir
        NetBT_Tcpip_{12C873AE-A2DB-4CAC-99CB-52CBE2F56F8E}
    The redir is bound to 1 NetBt transport.
    List of NetBt transports currently bound to the browser
        NetBT_Tcpip_{12C873AE-A2DB-4CAC-99CB-52CBE2F56F8E}
    The browser is bound to 1 NetBt transport.
 
DC discovery test. . . . . . . . . : Passed
 
DC list test . . . . . . . . . . . : Passed
 
Trust relationship test. . . . . . : Skipped
 
Kerberos test. . . . . . . . . . . : Passed
 
LDAP test. . . . . . . . . . . . . : Passed
 
Bindings test. . . . . . . . . . . : Passed
 
WAN configuration test . . . . . . : Skipped
    No active remote access connections.
 
Modem diagnostics test . . . . . . : Passed
IP Security test . . . . . . . . . : Skipped
    Note: run "netsh ipsec dynamic show /?" for more detailed information
 
The command completed successfully
C:\Program Files\Support Tools>

правила соскриню сразу кину сюда..

[С.С. Горбунков]

значитца так - у контроллера домена надо убрать адрес ДНС-сервера провайдера из настроек сетевухи. Форвардинг на провайдера сделать в оснастке DNS. И еще - chkdsk c: /f /x /r и перегрузить.
ждем остального.

[Eviless]

Уважемый Семен Семенович если скрины правил бкз портов ниче страшного?

[С.С. Горбунков]

Eviless,
обычно прячут реальные айпи. а порты - незачем.
скрины с настройками авторизации не забудь, и с настройками соединения с контролером домена для выполнения маппинга юзеров из АД.

[Eviless]

Вот правила:

[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

Чек пока сделать не могу ибо люди работают)

[Eviless]

[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

[С.С. Горбунков]

Eviless,
по последним скриншотам - не надо задействовать авторизацию локальных юзеров в базе АД - это раз
в закладке Active Directory задействовать NT Domain Authentication - это два (чтоб заработала NTLM авторизация)
список юзеров из AD берется без проблем с указанным логином-паролем?

и еще раз настойчиво прошу ipconfig /all со шлюза.

[Eviless]

ipconfig

Microsoft Windows [Версия 5.2.3790]
(С) Корпорация Майкрософт, 1985-2003.
C:\Documents and Settings\Lilit>ipconfig /all
Настройка протокола IP для Windows
   Имя компьютера  . . . . . . . . . : dc1
   Основной DNS-суффикс  . . . . . . : kvs.lan
   Тип узла. . . . . . . . . . . . . : неизвестный
   IP-маршрутизация включена . . . . : нет
   WINS-прокси включен . . . . . . . : нет
   Порядок просмотра суффиксов DNS . : kvs.lan
Подключение по локальной сети - Ethernet адаптер:
   DNS-суффикс этого подключения . . :
   Описание  . . . . . . . . . . . . : Realtek RTL8168/8111 PCI-E Gigabit Ethern
et NIC
   Физический адрес. . . . . . . . . : 00-1A-4D-45-14-43
   DHCP включен. . . . . . . . . . . : нет
   IP-адрес  . . . . . . . . . . . . : 192.168.0.1
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз . . . . . . . . . . : 192.168.0.3
   DNS-серверы . . . . . . . . . . . : 192.168.0.1
                                       81.222.хх.х

с паролем этим все нормально работает вроде. Да и вопрос все настройки не изменялись, все работало..а потом все слетело изза чего может быть? Мне кажется что из АД просто пользователей керио не может опознать...потому что юзеры не в АД нормально себя чувствуют.

[С.С. Горбунков]

Eviless,
ipconfig /all со шлюза когда будет? когда будет убран провайдерский ДНС из настроек сетевухи на контроллере домена?

в правиле "Local traffic" протокол-инспектор=none?

Цитата:

Сообщение от Eviless

Мне кажется что из АД просто пользователей керио не может опознать

А с чего это он не может опознать? Тут несколько причин, которые мы и пытаемся выяснить. поэтому нужно больше инфы.

[Eviless]

Виновата не тот конфиг выложила.
Вот гейтовский...

Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.
C:\Documents and Settings\Administrator>ipconfig /all
Настройка протокола IP для Windows
        Имя компьютера  . . . . . . . . . : kvs-gate
        Основной DNS-суффикс  . . . . . . : kvs.lan
        Тип узла. . . . . . . . . . . . . : неизвестный
        IP-маршрутизация включена . . . . : да
        WINS-прокси включен . . . . . . . : нет
        Порядок просмотра суффиксов DNS . : kvs.lan
internet - Ethernet адаптер:
        DNS-суффикс этого подключения . . :
        Описание  . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethe
rnet NIC
        Физический адрес. . . . . . . . . : 00-18-E7-15-A6-59
        Dhcp включен. . . . . . . . . . . : нет
        IP-адрес  . . . . . . . . . . . . : 81.222.xx.xx
        Маска подсети . . . . . . . . . . : 255.255.255.248
        Основной шлюз . . . . . . . . . . : 81.222.xx.xx
        DNS-серверы . . . . . . . . . . . : 81.222.xx.xx
                                            81.222.xx.xx
local - Ethernet адаптер:
        DNS-суффикс этого подключения . . :
        Описание  . . . . . . . . . . . . : VIA Rhine II Fast Ethernet Adapter
        Физический адрес. . . . . . . . . : 00-16-EC-CF-6C-D9
        Dhcp включен. . . . . . . . . . . : нет
        IP-адрес  . . . . . . . . . . . . : 192.168.0.3
        Маска подсети . . . . . . . . . . : 255.255.255.0
        Основной шлюз . . . . . . . . . . :
        DNS-серверы . . . . . . . . . . . : 192.168.0.1
Kerio VPN - Ethernet адаптер:
        DNS-суффикс этого подключения . . :
        Описание  . . . . . . . . . . . . : Kerio VPN adapter
        Физический адрес. . . . . . . . . : 44-45-53-54-F0-08
        Dhcp включен. . . . . . . . . . . : да
        Автонастройка включена  . . . . . : да
        IP-адрес  . . . . . . . . . . . . : 169.254.118.xx
        Маска подсети . . . . . . . . . . : 255.255.255.0
        Основной шлюз . . . . . . . . . . :
        DHCP-сервер . . . . . . . . . . . : 169.254.118.xx
        NetBIOS через TCP/IP. . . . . . . : отключен
        Аренда получена . . . . . . . . . : 22 августа 2008 г. 9:24:02
        Аренда истекает . . . . . . . . . : 22 августа 2008 г. 9:27:02
C:\Documents and Settings\Administrator>

при проверке chdsk было написано что файловая система повреждена и при запуске cmd писал что файл повержден.

В правиле local trafic стоит any. если я правильно понимаю.

[Alex71]

Цитата:

Сообщение от Eviless

В правиле local trafic стоит any. если я правильно понимаю.

Нет
В окне ТР клик правой кнопкой и Modify Columns, затем галку на Protocol Inspeсtor.
В последней колонк протокол инспектор для Local traffic ставим в None

[С.С. Горбунков]

Eviless, в правиле Local Traffic надо выключить протокол-инспектор. (колонка по умолчанию не отображается, надо вытащить ее правой педалью мыши)
Статью про правильную настройку ДНС не читала? у всех компов в домене, в т.ч. и у шлюзового, должен быть в настройках только доменный ДНС-сервер, а пересылка запросов на провайдера осуществляется с доменного ДНС-сервера, настраивается на контроллере домена в оснастке DNS - свойства сервера - пересылка.

Как происходит авторизация доменных пользователей при выходе в инет сейчас? NTLM-авторизация включена? мои прошлые рекомендации выполнены?

[Eviless]

все сделала так как Вы говорили.
в Свойствах ДНС сервера в закладке пересылка должен быть указан ДНС провайдера или внутренний?
вот скрин то что указано в пересылке.
[Для просмотра данной ссылки нужно зарегистрироваться]
192.168.0.2 это второй сервак на котором висит 1С и вся прочая лабуда.
В TP в local trafic protocol inspector галки не стоит.

Вот скрин пользователей который могут зайти в интернет по старым учеткам.. у них как работало все так и работает.
[Для просмотра данной ссылки нужно зарегистрироваться]
а вот эти пользователи из АД не могут авторизоваться:
[Для просмотра данной ссылки нужно зарегистрироваться]
все заходят в интернет через пользователя kvs,которого видно на первом скрине. его создавала я когда все упало.
Извините что мучаю Вас глупыми вопросами. просто обратится не к кому.