בעייה מוזרה

[lirane1]

בעייה מוזרה

שלום לכולם, יש לי בעייה עם אחד המשתמשים בחברה, שלא נפתרת ואין לי עוד רעיונות יש משתמש מסוים בחברה שרוצה לגשת לשרת קבצים שמאוכסן במקום אחר. אם נכנסים אם המשתמש הספציפי, לא משנה לאיזה מחשב, רק עם המשתמש שלו לא ניתן להגיע לשרת קבצים על ידי שימוש ב \\computer אלא רק בכתובת IP זאת לא בעיית DNS, (בדיקה עם NSLOOKUP מראה שהכתובת תקינה) אם אני ניגש לשרת לפי כתובת IP - אני מצליח. אם אני שם את השם מחשב בקובץ HOSTS זה גם לא עובד, אפשר לגשת למחשב רק לפי IP, שוב רק מהמשתמש הספציפי רק לשרת הזה (לא משנה באיזה מחשב) לוגין עם משתמש אחר עובד למישהו יש איזה רעיון?

 

[טופי]

יש לו פרופיל נודד?

יכול להיות שהוא "תפס" משהו על הפרופיל. לך למחשב שהוא לרוב לא עובד עליו, תמחק את הפרופיל המקומי, ותשנה את ההפניה לפרופיל שלו לספריה שלא קיימת. זה יצור לו פרופיל חדש, ואז תוכל לנסות.

 

[lirane1]

משהו עוד יותר מוזר

היי, תודה על העזרה, עקרונית אין לו פרופיל נודד וגם לא היה לו. מצאתי מה הבעייה, וזה משהו מטורף לגמרי, יש לו מיפוי של כונן Z לשרת קבצים כמו לכול האנשים שנמצאים באותו OU בדיוק אחד לאחד. ברגע שמבצעים מיפוי לתיקייה שלו - גורנישט ברגע שאני מבטל את המיפוי - עובד בלי בעייה כמובן שהמיפוי עצמו תקין ועובד בסדר גמור אם אני מנסה לגשת ישירות לשרת קבצים בלי לעשות מיפוי כונן. מה דעתך?

 

[antidot]

מה השגיאה שהוא מקבל ?

הייתי מנסה להסתכל על הmetadata של רפליקציה של האובייקט משתמש שלו על הDC בSITE שלו ובSITE של שרת הקבצים המרוחק. תבדוק רפליקציה באירגון ותתמקד בDC-ים בSITE-ים שציינתי. העובדה שהוא לא מצליח לגשת לשרת מרוחק בעזרת dns name/netbios name אך כן מצליח בעזרת IP מצביעה על כך שהKerberos authentication לא עובד. גישה לפי IP אוטומטית גורמת לשימוש בNTLM מהסיבה שלכתובת IP אין SPN. האם המשתמש שייך לכמות גדולה של קבוצות ? (מעל 50-70 ? )

 

[lirane1]

=========>

היי גיא, קודם כל תודה על העזרה. השגיאה שהוא מקבל היא The specify network name is no longer available, אין שום הודעה של בעיית הרשאות או משהו כזה. המשתמש שייך לכמות די גדולה של קבוצות, אין לי אפשרות כרגע להתחבר למשרד אבל משהו כמו לפחות 30 קבוצות. איך/איפה אני יכול לבדוק את ה metadata של הרפליקציה? עקרונית הסיפור הוא כזה, המשתמש התחיל להתלונן לפני כחודש על בעייה בגישה לשרת מסוים, פתח פנייה אל ה helpdesk של החברה שלא הצליחו לטפל והועבר למחלקה אחרת, שהעבירה את זה למחלקה שלי. החברה מורכבת מ 7 שרתי DC שכל אחד הוא GC, שניים יושבים בסניף שהעובד יושב, שניים במקום אחר ועוד כמה פזורים בסניפים של החברה בארץ. כל קבוצת שרתים הם site. השרת שהוא מנסה לגשת אליו יושב בסניף אחר, ומורכב משני DC לצורך דוגמה DC01 ו DC02, יש לו בעייה ספציפית לגשת לשני השרתים האלה בלבד שיושבים ב SITE נפרד. גישה לכל שאר השרתי DC שיושבים גם הם ב SITES נפרדים תקינה לחלוטין ניסיתי כמה דברים, כגון פרופיל, בדיקה במספר מחשבים, שאילתות ל DNS, הכל תקין, קובץ HOSTS, ניסוי לכתובת בסגנון COMPUTER-NAME.DOMAIN, כמו כן sniffer, הכל תקין לגמרי. המשתמש יושב תחת OU, שיושב תחת OU אחר שחל עליו מספר GPO, תחת ה OU שלו קיימים המון משתמשים עם אותם הגדרות בדיוק כולל GPO, הרשאות וכדומה, ורק אצלו הבעייה. ניסיתי גם לעשות לו DENY ל READ, apply של GPO לא עזר, כמו כן להעביר אותה ל USERS תחת הדומיין גם שלא עזר. בניסיון נוסף שעשיתי העפתי את המיפוי של כונן הרשת, וזה עובד, אפשר לגשת לשרתים הנ"ל, במידה ואני עושה MAP NETWORK DRIVE במחשב עצמו ולא דרך AD גם עובד. כל הוספה של מיפוי כונן רשת (שמאוד חשוב לעובדים...) גורם להוצאת ההודעת שגיאה The specify network name is no longer available בכל מחשב לא משנה איזה. הדבר הכי מוזר הוא למה רק למשתמש הזה? באותו OU קיימים עוד 1,000 משתמשים לפחות ויוזר שיש לו אותם הרשאות בדיוק וחל עליו הכל עובד ללא בעייה. תודה ומצטער על האורך של ההודעה...

 

[Ido MCSE]

עושה רושם שהאובייקט התחרבש..

ידידי אני קורא פה וממה שהצלחתי להבין.. זה שיש בעיה ספסיפית למשתמש אחד מול שרת קבצים אחד ? תקן אותי אם אני טועה.. האם זו הבעיה היחידה שלו בדומיין ? והאם זה השרת היחידי שהוא לא מצליח להתחבר אליו ? תראה תאמת.... יש הרבה דרכים יצירתיות לפתור את הסוגייה הזו אבל זה נראה כמו מחט בערמת... המלצתי.. צור לו משתמש חדש ותן לו הרשאות מחדש.. (אתה גם יכול לשכפל אוביקט בעל הרשאות דומות ב AD2003 בשני לחיצות) הכי מהיר והכי יעיל. בהצלחה.

 

[lirane1]

עקרונית כן

הוא לא מצליח להתחבר לשני שרתים ספציפיים שנמצאים ב SITE אחר. שכפול משתמש לא עוזר (אותה בעייה בדיוק) יצירת יוזר מחדש זה הפיתרון "הקל" , אך למשתמש יש המון קבצים מוצפנים ב NTFS, וכל מיני הרשאות לתיקיות מסוימות שזה קצת בעייה. חוץ מזה, שאני רוצה לנסות לפתור את התקלה ולנסות להבין מה גרם לה (למרות שעם מיקרוסופט אף פעם אי אפשר לדעת...)

 

[antidot]

ואם זאת תחילת מגמה ?

ומה אם זה הסממן הראשון לבעיה שבעתיד יכולה לקבל מימדים יותר גדולים ? ולא, יצירת חשבון מחדש זאת לא הדרך הקלה אם הוא משתמש בEFS, יש לו תעודות דיגיטליות להצפנת דואר/גישה דרך VPN או שבACL-ים על שרתי קבצים נתנו לחשבון שלו הרשאות מפורשות בלי להשתמש בקבוצות.

 

[antidot]

------->

אם אתה יכול לעלות לכאן את הפחט של הדברים הבאים, זה יכול לעזור:

repadmin /showobjmeta <DC> cn=joe,ou=bla,dc=domain,dc=com dsquery * -filter "&(objectcategory=person)(objectclass=user)(samaccountname=joe)" -attr * -s <DC>​

תריץ את זה מול הDC-ים בSITE של המשתמש ומול הDC-ים בSITE המרוחק. אם יש לך בעיה להעלות לכאן את הפלט, או שתחליף את השמות או שתשלח אליי למייל [email protected] בנוסף, ציין את המערכות הפעלה של DC-ים, רמת SP ו Domain Functional Level ו-Forest Functional Level. האם מופעל auditing של failures על הDC-ים ? האם מופיע משהו בevent logs של הDC-ים ? אם אתה יכול לעשות תרגיל זמני בנוסח: - תעשה DUMP לקבוצות אליהן המשתמש שייך (תשאל את memberOf של החשבון) - צמצם את מספר הקבוצות אליהן הוא שייך ללא יותר מבערך 20 - תכריח רפליקציה של כל הDC-ים ( repadmin /syncall dcname מול כל הDC-ים) - תבצע logout של החשבון הבעייתי - תבדוק אם התופעה חוזרת - תחזיר את הקבוצות אליהן המשתמש שייך עוד שאלה: איך האתרים מחוברים ביניהם ? VPN ? האם יש סיכוי לבעיות פרגמנטציה בקו ? אם יש לך את הnetwork capture של התופעה ואתה יכול לשלוח אותו, שדר גם אותו. בינתיים מספיק...

 

[טופי]

בבקשה אל תעבירו את הטיפול למייל

התקלה הזו, למרות הסיבוך שבה, מעניינת. אם אתם בכל זאת מעבירים למייל (עקב מגבלות של הפורום) בבקשה פרסמו מה עשיתם כדי לפתור את הבעיה.