为什么我的域控制器拒绝与不同子网上的客户端通信？

Question

我有一个办公子网（比如 192.168.10.x）和一个访客子网（192.168.99.x），它们都使用 pfSense 盒作为网关/路由器。办公室子网由 Active Directory 使用 Windows 2003 域控制器“控制”——DC 发出 DHCP 租约、控制 DNS 等。我的来宾子网由 pfSense 控制。

我想要一台位于来宾子网上的 WinXP 客户端计算机，以访问 Active Directory 资源，就像它们在办公室子网上一样。

VPN 可能是一种可能性，但由于两个子网都由同一个 pfSense 框控制，因此路由变得混乱。

VLAN 并不是真正的可能性。

我想我几乎可以完成这项工作，但我被卡住了。愚蠢的是，我们的域控制器上有文件服务器甚至 Exchange，而客户端无法正确访问这些资源。

这是有效的：

• 客户端和办公子网中的大多数机器可以相互通信。
• 我在 Active Directory 站点和服务中设置来宾子网
• 客户端可以访问办公室子网上的 DNS（也在域控制器上运行）
• 客户端可以 RDP 到办公室子网上的非域控制器
• 我认为客户端甚至可以进行身份​​验证以正确登录
• 我手动将客户端的 DNS 条目添加到 Active Directory 的 DNS 中

但客户端无法 RDP 进入域控制器、访问 Exchange 或访问文件共享。当我将客户端移动到办公室子网时，它可以执行这些操作。

据我所知，服务器事件日志没有提供任何线索。

客户端事件日志有一些线索。下面是一个例子：

W32Time eventID 18

The time provider NtpClient failed to establish a trust relationship between this
computer and the MYDOMAIN domain in order to securely synchronize time. NtpClient 
will try again in 60 minutes. The error was: The trust relationship between this 
workstation and the primary domain failed. (0x800706FD)

如果没有信任关系，那么我应该无法进行身份验证，但我很确定我可以。（我会仔细检查以确保它不仅仅是缓存的凭据。）

我怀疑域控制器上的某些设置使它们在远程子网上时不信任我的客户端。但是我很难找到它可能是什么，或者在哪里可以找到有关此的文档。

我错过了什么？

我应该考虑这个问题的其他解决方案吗？

Answer 1

如果客户端加入域，那么阻止它正常通信的唯一原因是流量没有正确地从一个子网路由到另一个子网，客户端的 DNS 设置错误，或者防火墙阻止了所需的从一个子网到另一个子网的流量。

如果那里没有 DC 或没有 AD 集成服务（Exchange、DFS），在 ADS&S 中设置另一个子网对您没有任何好处。