Архив форумов ЦИТФорума

[amiga505]

доброго времени суток, уважаемые гуру!

во вверенной мне сети начали твориться странные вещи. собственно тревожит один из серверов. сервер как сервер - ничего серьезного, Windows 2003 Standard SP1 R2, входит в домен, на сервере крутится standby Оракла. недавно было замечено, что на сервер невозможно зайти ремоут десктопом с использованием логина/пароля пользователя АД. локальным администратором (консоль) пускает, а вот при попытке зайти даже домен админом выдает "Не удалось войти в систему из-за следующей ошибки: Отказано в доступе". установить, когда именно и почему началось подобное безобразие не удалось.

во время исследования проблемы в журнале были обнаружены события:

ID:1058

Windows не удалось получить доступ к файлу GPT.INI для объекта групповой политики CN={......},CN=Policies,CN=System,DC=xxx,DC=yyy,DC=zz. Этот файл должен находиться в <\\...\Policies\{...}\gpt.ini>. (Отказано в доступе. ). Обработка групповой политики прекращена.

ID: 1030

Не удалось запросить данный список объектов групповой политики. Проверьте в журнале событий наличие сообщений, описывающих причины сбоя.

при гуглении был найден, в частности, следующий топик http://forum.citforum.ru/viewtopic.php?t=46932&highlight=%CE%F2%EA%E0%E7%E0%ED%EE+++%E4%EE%F1%F2%F3%EF%E5 и прочитана рекомендованная статья на Майкрософте. Насколько я понял, информация в данной статье применима для до-SP1 систем. Я попробовал сделать на проблемном сервере dfsutil /PurgeMupCache - не помогло.

едем дальше - читаю eventid.net

[bvvtver]

http://support.microsoft.com/kb/314494/ru
Здесь есть пара советов. Следует обратить внимание на

[amiga505]

Рапортую:

- DFS работает, параметра DisableDFS не присутствовало, насколько я знаю по-умолчанию должно работать (значение 0)
- права на корень такие же, как и у других не проблемных серверов, а именно - особые разрешения. пробовал явно указывать чтение и выполнение - не помогло.

[amiga505]

ну особые разрешения - это как раз чтение и выполнение только для этой папки (корня)

[bvvtver]

[kin]

Может чем поможет...
У меня была такая же беда (в смысле ошибка таже самая"...Windows не удалось получить доступ к файлу GPT.INI для объекта групповой политики CN={......},CN=Policies,CN=System,DC=xxx,DC=yyy,DC=zz. Этот файл должен находиться в <\\...\Policies\{...}\gpt.ini>. (Отказано в доступе. ). Обработка групповой политики прекращена.") попутно проскакивало сообщение о невозможности зарегистрировать имя в DNS, причем выполнение ipconfig/registerdns тоже не проходило.
Дело было в следующем, по какой-то, одному ПК известно какой причине, он не мог обновить IP адрес от DHCP-сервера (ID предупреждения 1003). Получалось что-то, физически он в домене, логически - нет.
После ручного освобождения аренды и перезагрузки процесс пошел...
можно еще покопаться в DNS (по-моему есть смысл...) и службах....

[amiga505]

2bvvtver: да, логин вводится в формате domain\user

2kin: в ДНС и службах копался - в службах как по мне все, что должно работать - работает. в ДНС сервер присутствует, ipconfig /flushdns ipconfig /registerindns проходит, но на ситуацию не влияет. в DHCP у сервера резервирование, обновление параметров ip проходит успешно - так что дело и не в этом, похоже. что ж это за зад такой...

[amiga505]

фантастика. не входит в домен и все тут. отказано в доступе. и ничего в логах ни на самом проблемном сервере, ни на контроллерах домена.

[amiga505]

починил.

на мысль натолкнула следующая статья: http://support.microsoft.com/kb/839499, которая, в свою очередь, была найдена при разборе сведений от dcdiag на контроллере домена. проблема оказалась в несогласованности настроек политик на контроллере и проблемном сервере, а именно политик:

локальные политики на контроллере:

- Microsoft network server: Digitally sign communications (always). Включено
- Microsoft network server: Digitally sign communications (if client agrees). Включено

локальные политики на проблемном сервере:

- Microsoft network client: Digitally sign communications (always). Отключено
- Microsoft network client: Digitally sign communications (if client agrees). Отключено

так что проблема оказалась-таки в политиках. но вот почему такое произошло, мне пока не понятно. буду разбираться.