无法将 Win7 工作站加入 Win2k8 域

Question

我正在尝试将 Windows 7 Ultimate 计算机连接到 Windows 2k8 域，但无法正常工作。我收到此错误：

注意：此信息供网络管理员使用。如果您不是网络管理员，请通知管理员您收到了此信息，该信息已记录在文件 C:\Windows\debug\dcdiag.txt 中。

DNS 已成功查询用于定位域“example.local”的域控制器的服务位置 (SRV) 资源记录：

查询是针对 _ldap._tcp.dc._msdcs.example.local 的 SRV 记录

查询标识了以下域控制器：
dc1.example.local
dc2.example.local

但是，无法联系域控制器。

此错误的常见原因包括：

• 将域控制器的名称映射到其 IP 地址的主机 (A) 或 (AAAA) 记录丢失或包含不正确的地址。

• 在 DNS 中注册的域控制器未连接到网络或未运行。

客户位于通过 MPLS 远程连接到我们的域控制器所在的数据中心的办公室。我似乎没有任何阻止与 DC 连接的东西，但我无法完全控制 MPLS 电路，因此可能存在阻止连接的东西。

我在一个办公室尝试了多个客户端（Win7 Ultimate 和 WinXP SP3），并且在所有客户端上都出现了相同的症状。

我可以毫无困难地连接到任何一个域控制器，但不可否认，我没有尝试过所有可能的端口。ICMP、LDAP、DNS 和 SMB 连接都可以正常工作。

客户端 DNS 指向 DC，“example.local”解析为 DC 的两个 IP 地址。

我从 NetLogon 测试命令行实用程序获得此输出：

C:\Windows\System32>nltest /dsgetdc:example.local
Getting DC name failed: Status = 1355 0x54b ERROR_NO_SUCH_DOMAIN

我还创建了一个单独的网络来模拟通过 LAN 到 LAN VPN 而不是 MPLS 连接到 DC 网络的办公室配置。从该远程网络加入 Windows 7 计算机工作正常。

我能在两种环境之间找到的唯一区别是中间连接，但我不知道要测试什么或如何做。我应该采取哪些进一步的措施？

（请注意，这实际上不是我的客户端工作站，我无法直接访问它；我不得不对其进行远程手动访问，这使得一些明显的故障排除方法（如数据包嗅探）变得更加困难。如果我可以在那里建立一个我可以远程进入的系统，我愿意，但这种效果的请求没有得到答复。）

2011-08-25 更新：
我在DCDIAG.EXE尝试加入域的客户端上运行：

C:\Windows\System32>dcdiag /u:example\adminuser /p:********* /s:dc2.example.local

Directory Server Diagnosis

Performing initial setup:
   Ldap search capabality attribute search failed on server
   dc2.example.local, return value = 81

这听起来像是能够通过 LDAP 连接，但它尝试做的事情失败了。但我不太了解它试图做什么，更不用说如何重现它或解决它了。

2011-08-26更新：
使用LDP.EXE尝试，并直接进行LDAP连接到这些错误的DC结果：

ld = ldap_open("10.0.0.1", 389);
错误 <0x51>：无法连接到 10.0.0.1。
ld = ldap_open("10.0.0.2", 389);
错误 <0x51>：无法连接到 10.0.0.2。
ld = ldap_open("10.0.0.1", 3268);
错误 <0x51>：无法连接到 10.0.0.1。
ld = ldap_open("10.0.0.2", 3268);
错误 <0x51>：无法连接到 10.0.0.2。

这似乎是指 LDAP 连接在某处被阻止。（并且 0x51 == 81，这是DCDIAG.EXE昨天更新中的错误。）我可以发誓我在TELNET.EXE几周前使用过它进行了测试，但现在我想我可能已经假设它清除屏幕告诉我它是等待而不是它已连接。

我现在正在追踪 LDAP 连接问题。此更新可能会成为答案。

Answer 1

我们花了很长时间才找到问题所在，但事实证明 VPN 内有过滤器阻止 LDAP（和其他）流量。我清除了这些过滤器，现在它可以工作了。