使用 Kerberos 身份验证的远程 Powershell 会话连接失败

Question

我有一个本地网络和一个 Azure 虚拟网络，它们通过网关连接在一起。

通过此设置，所有机器（本地和 Azure）都加入了域，这允许我从我办公室的机器远程访问 Azure 虚拟网络中每台机器上的管理共享以及远程 Powershell 会话。例如，我可以简单地打开 Windows 资源管理器并在地址栏中输入 \\machinename\c$，或者我可以使用命令 $Session = New-PSSession -ComputerName machinename 打开远程 Powershell 会话。

这对我的一个 Azure 订阅非常有效，但在另一个配置相同的 Azure 订阅上，远程 Powershell 命令失败并出现错误：

New-PSSession : [machinename] 连接到远程服务器 machinename 失败并显示以下错误消息：WinRM 无法处理请求。发生以下错误时 使用 Kerberos 身份验证：找不到计算机 machinename。验证计算机是否存在于网络上，并且提供的名称拼写正确。了解更多信息， 请参阅 about_Remote_Troubleshooting 帮助主题。

当我在 Azure 域控制器上查看 DNS 时，我尝试连接的计算机存在。当我查看本地 DNS 时，机器丢失了。在我看来，这是两个域控制器之间的复制问题。

可能建议的第一件事是开始查看客户端计算机上的 WinRM 配置。需要明确的是，同一台计算机能够成功连接到不同 Azure 订阅中虚拟网络中的计算机，因此客户端计算机上的任何内容都不太可能需要更改。尽管如此，我使用远程 Powershell 搜索了 Kerberos 错误，并检查了客户端上的 TrustedHosts 设置是否设置为 *。

有趣的是，我可以成功地从 Azure 订阅中的机器打开远程 Powershell 会话到我办公室的机器，但我无法从另一个方向......从 Azure 到我的办公室。这似乎表明可能是单向信任而不是双向信任，但我不确定如何验证这一点。

我运行了the tool，它报告说复制方面一切正常。

所以我想我想知道这是否真的是一个复制问题，或者是否有人可以让我知道问题可能是什么。

编辑 1

现在看来，Azure 网络中的域控制器正在复制，但我添加到 Azure 网络的任何其他 VM 都没有复制。基于此，我会猜测复制正在工作，但它似乎只适用于域控制器而不适用于任何其他机器。我不知道那是什么意思。

Answer 1

根据错误消息，Azure 域控制器上的 DNS 记录似乎没有复制到本地域控制器。

要验证这一点，您可以在本地计算机上运行以下命令，并使用 IP 地址 作为参数 -ComputerName 的值而不是计算机名称。如果这是 DNS 问题，应成功建立 PowerShell 会话。

New-PSSession -ComputerName Azure 上服务器的 IP 地址

此外，您可以在域控制器上运行以下命令来检查复制状态。

repadmin /kcc
repadmin /replisummlry

如果命令输出成功，您可以运行以下命令手动复制，并再次检查DNS。

repadmin /syncall

最后，要检查信任关系，您可以参考以下链接获取分步指南。

https://technet.microsoft.com/en-us/library/cc753821(v=ws.11).aspx

更新

根据您提供的新信息，我建议您检查 Azure DNS 服务器上的 DNS 区域类型。请确保类型为主要区域，并将区域存储在 Active Directory 中。

您可以使用 DNS 管理器进行检查。