Domainbeitritt scheitert - Fehler 0x3a im NetSetup.log - 19.04.2015
von Thomas Windscheif / Microlinc
Fehler beim Domänenbeitritt
Umgebung:
Windows 7 Professional Client (aktuell gepatched)
Windows Server 2012 R2 (aktuell gepatched) inkl. AD DS und DNS
Fremdhersteller DNS-Server mit AD-fremden Namespace
Via DHCP wird der Domain Suffix des AD-fremden Namespaces an die Clients verteilt
"Fehler beim Ändern des DNS-Namens für die primäre Domäne dieses Computers in "". Name "[..]" wird beibehalten.
Fehler:
Der angegebene Server kann den angeforderten Vorgang nicht ausführen."
Der DomainJoin als solcher funktioniert wohl, da das Computerobjekt im Active Directory erstellt. Die Registrierung des DNS-Eintrages scheitert aber.
Im Logfile "NetSetup.log" unter "C:\Windows\Debug"
gibt es u. A. folgenden Fehler:
NetpLdapBind: ldap_bind failed on \\
Tatsächlich ist der Domaincontroller aktiv und langweilt sich. Sicherheitshalber die Domaincontroller abwechselt neu gestartet.
In aller Regel deutet dieser Fehler auf Netzwerkkonnektivitätsprobleme hin:
siehe https://support.microsoft.com/en-us/kb/2018583
Analyse mittels PortQry (http://www.microsoft.com/en-us/download/details.aspx?id=17148) auf dem Client gegen den Domaincontroller bescheinigte aber einwandfreie Konnektivität.
Ebenfalls wurde die Clientfirewall temporär deaktiviert, die Maßnahme half leider auch nicht.
Auch eine Kürzung des Computernamens ergab keine Besserung.
Die kurzfristige Lösung war schließlich folgende:
- Hinzufügen des AD-Domain-Namespaces zur DNS-Suffix-Liste des Netzwerkadapters
Hiermit wurde der Domainbeitritt zwar erfolgreich abgeschlossen, dennoch blieb der FQDN des Hostnamen weiterhin auf dem Namespace der AD-fremden DNS-Zone definiert.
Nach einiger Recherche wurde klar, dass einige lokale Richtlinien definiert wurden, und zwar im Bereich Computerkonfiguration > Administrative Vorlagen > Netzwerk > DNS-Client.
Die Richtlinie "Primäres DNS-Suffix" war mit einem Wert vorgegeben worden.
(korrespondierender Registry-Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\System\DNSClient)
Selbst durch einen Domänenbeitritt ändert sich der FQDN der Maschine nicht, wenn die Richtlinie aktiviert ist.
Da auch noch einige andere verstellt waren, wurden folgende Schritte unternommen:
- Computer einer Arbeitsgruppe hinzufügen
- Restart des Systems
- Löschung des Computerkontos im AD
- Die beiden lokalen GPO-Folder wurde entfernt:
- C:\Windows\System32\GroupPolicy
- C:\Windows\System32\GroupPolicyUsers
- und anschließend ein "gpupdate /force" abgesetzt.
Hierdurch werden die "leeren" Gruppenrichtlinien angewendet und die meisten zuvor gesetzten Policies werden entfernt.
Nach einem weiteren Neustart des Systems, wurde erneut einen manuellen DomainJoin durchgeführt. Siehe da, ohne Fehler und mit korrektem FQDN.