nltest dclist 不显示相同的结果答案

【问题标题】：nltest dclist does not show same resultnltest dclist 不显示相同的结果
【发布时间】：2021-05-31 08:06:58
【问题描述】：

我们有两台 Windows 2012 服务器位于域“FACTORY”的同一子网中。我们与来自域“OFFICE”的用户存在间歇性身份验证问题（第 3 方应用程序）。在使用 nltest 命令进行故障排除期间，我不明白。

这是第一台 Windows 2021 服务器的输出：

nltest /dclist:OFFICE
Get list of DCs in domain 'OFFICE' from '\\DC01'.
You don't have access to DsBind to OFFICE (\\DC01) (Trying NetServerEnum).
I_NetGetDCList failed: Status = 6118 0x17e6 ERROR_NO_BROWSER_SERVERS_FOUND

这是第二台 Windows 2012 服务器的输出：

nltest /dclist:OFFICE
Get list of DCs in domain 'OFFICE' from '\\DC02'.
You don't have access to DsBind to OFFICE (\\DC02) (Trying NetServerEnum).
List of DCs in Domain OFFICE
    \\DC03 (PDC)
The command completed successfully

为什么第二个 Windows 2012 可以获取域 OFFICE 中的 DC 列表？ 两台服务器位于同一个网络子网上，都具有相同的网络设置，没有 WINS。我可以看到 nltest 使用不同的 DC（DC01 与 DC02）来获得结果，我也不明白。

我阅读了很多关于错误 ERROR_NO_BROWSER_SERVERS_FOUND 的文章，该错误指向“计算机浏览器服务”。但是，此服务在两台服务器上均已禁用。

第二个 Windows 2012 从未报告过间歇性身份验证问题，所以我怀疑这个 nltest 结果可能会导致此问题。

【问题讨论】：

标签： windows networking active-directory windows-authentication

【解决方案1】：

什么是域拓扑？
这是一种什么样的信任？
两侧的 DC 事件日志中是否有来自 NETLOGON 的错误事件？
nltest /trusted_domains 是否在 FACTORY DC 上显示正确的信息
nltest /sc_query:OtherDomain 是否在 Trusting 端显示任何错误？
与信任每一方的每个 DC 上的 netdom trust TrustingDomainName /domain:TrustedDomainName /verify 相同吗？（或者您可以在 AD 域和信任中检查它）。与 nltest 不同，这需要凭据。
all the required ports（包括所有必需的 RPC 端口）是否在每个域中的所有 DC 之间打开？在 Windows 防火墙中？最重要的方面是信任域 DC 必须能够访问受信任域中的 PDCE。至少，您需要这些端口：LDAP（389 UDP 和 TCP）、SMB（445 TCP）、Kerberos（88 UDP）、RPC 端口映射器（135 TCP）、DNS（53 UDP 和 TCP）
您是否尝试过来自所有 DC 的 DNS 查询，以查看是否可以解析每一侧的 SRV？例如nslookup -q=SRV _ldap._tcp.mydomain.com（_kerberos.tcp 和 _kerberos.udp 也是如此）
两个域中的任何 DC 是否具有相同的主机名？还是重复的 SID？如果 DC 是根据自定义映像构建的，它们是否经过 Sysprep？
信任双方的所有 DC 上的时间是否同步？（最多 5 分钟内）
NETLOGON.LOG 中是否有任何错误？您可以启用 NETLOGON 调试日志记录以获得更丰富的信息，但只能将其保持一小段时间。

【讨论】：