Active Directory 域加入问题排除指南 - Windows Server

概要将 Windows 系统的计算机加入 Active Directory 域时，您可能会遇到各种阻止成功加入域的错误。这些错误可能会导致网络连接问题、DNS 配置问题、安全限制或身份验证失败。本文提供以下信息，可帮助你排查常见的域加入问题： - 涵盖 DNS、日志和网络要求的系统故障排除清单 - 包含指向详细解决方案的链接的常见错误代码表 - 收集诊断数据以支持进一步调查的方法在开始故障排除之前，请确保你对客户端计算机具有管理员权限，并在 Act

概要

将 Windows 系统的计算机加入 Active Directory 域时，您可能会遇到各种阻止成功加入域的错误。这些错误可能会导致网络连接问题、DNS 配置问题、安全限制或身份验证失败。本文提供以下信息，可帮助你排查常见的域加入问题：

涵盖 DNS、日志和网络要求的系统故障排除清单
包含指向详细解决方案的链接的常见错误代码表
收集诊断数据以支持进一步调查的方法

在开始故障排除之前，请确保你对客户端计算机具有管理员权限，并在 Active Directory 域中拥有适当的权限。

故障排除清单

域名系统（DNS）： 每当加入域时出现问题，首先要检查的一项是 DNS。 DNS 是 Active Directory（AD）的核心，确保其各个方面正常运作，包括域加入过程。请确保以下各项：
- DNS 服务器地址正确。
- 如果有多个 DNS 域正在运行，则 DNS 后缀搜索顺序是正确的。
- 没有引用同一计算机帐户的过时或重复的 DNS 记录。
- 反向 DNS 不会指向其他名称作为 A 记录。
- 可以对域名、域控制器 (DC) 和 DNS 服务器进行 ping 测试。
- 检查特定服务器的 DNS 记录冲突。
Netsetup.log： 排查域加入问题时，Netsetup.log文件是一种有价值的资源。 netsetup.log 文件位于 C:\Windows\Debug\netsetup.log。
网络跟踪：在 AD 域加入期间，客户端与某些 DNS 服务器之间以及客户端与某些 DC 之间会发生多种类型的流量。如果看到此流量中的任何一个错误，请按照该协议或组件的相应故障排除步骤将其缩小。有关详细信息，请参阅使用 Netsh 管理跟踪。
域加入强化更改： 2022 年 10 月 11 日之后发布的 Windows 更新包含 CVE-2022-38042 引入的其他保护。除非存在以下条件之一，否则这些保护会有意阻止域加入操作重复使用目标域中的现有计算机帐户：
- 尝试操作的用户是现有帐户的创建者。
- 计算机由域管理员组的成员创建。
有关详细信息，请参阅 KB5020276—Netjoin：域加入强化更改。

端口要求

下表列出了客户端计算机和 DC 之间打开所需的端口。

端口	协议	应用程序协议	系统服务名称
53	TCP	DNS	DNS 服务器
53	UDP	DNS	DNS 服务器
389	UDP	DC 定位器	LSASS 公司
389	TCP	LDAP 服务器	LSASS 公司
88	TCP	Kerberos	Kerberos 密钥分发服务器
135	TCP	RPC	RPC 终结点映射程序
445	TCP	SMB	Lanman服务器
1024-65535	TCP	RPC	用于客户端和域控制器之间 DSCrackNames、SAMR 和 Netlogon 调用的 RPC 终结点映射器

常见问题和解决方案

域加入错误代码	原因	相关文章
0x569	出现此错误的原因是，用于域加入的用户帐户在为域加入操作提供服务的域控制器（DC）上缺少从网络访问此计算机的权限。	故障排除错误代码0x569：用户未被授予在此计算机上的请求登录类型
0xaac或0x8b0	尝试使用现有计算机帐户名称将计算机加入域时，会发生此错误。	故障排除错误代码0xaac：使用现有计算机帐户加入域时失败
0x6BF 或 0xC002001C	当网络设备（路由器、防火墙或虚拟专用网络（VPN）设备）拒绝加入客户端与域控制器（DC）之间的网络数据包时，会出现此错误。	对状态代码 0x6bf 或 0xc002001c 进行故障排除：远程过程调用失败且未执行
0x6D9	当加入的客户端和域控制器（DC）之间的网络连接被阻止时，会出现此错误。	对错误代码 0x6D9 “从端点映射器中没有更多可用的端点” 进行故障排除
0xa8b	当您将工作组计算机加入域时，会出现此错误。	排查错误代码 0xa8b：尝试解析正在加入的域中的 DC 的 DNS 名称失败
0x40	此问题与获取服务器消息块（SMB）会话的 Kerberos 票证有关。	对错误代码 0x40 “指定的网络名称不再可用” 进行故障排除
0x54b	出现此错误的原因是无法联系指定的域，这表明查找域控制器（DC）时出现问题。	故障排除错误代码 0x54b
0x0000232A	此错误表示无法解析域名系统（DNS）名称。	对错误代码 0x0000232A 进行故障排除
0x3a	当客户端计算机在客户端计算机和域控制器（DC）之间的传输控制协议（TCP） 389 端口上缺乏可靠的网络连接时，会发生此错误。	排查状态码0x3a：指定服务器无法执行请求的操作
0x216d	当用户帐户超过可以加入域的 10 台计算机的限制，或者组策略限制用户将计算机加入域时，会发生此错误。	故障排除状态代码0x216d：您的计算机无法加入域

将基于 Windows 的计算机加入域时发生的其他错误

有关详细信息，请参阅：

有关域加入问题的数据收集

若要排查域加入问题，以下日志可能会有所帮助：

Netsetup 日志此日志文件包含有关域加入活动的大多数信息。该文件位于 %windir%\debug\netsetup.log 的客户端计算机上。默认情况下，此日志文件处于启用状态。无需显式启用它。
网络跟踪网络跟踪包含客户端计算机与相对服务器（如 DNS 服务器和域控制器）之间通过网络进行通信。应在客户端计算机上将其收集。多个工具可以收集网络跟踪，例如 Wireshark 或 netsh.exe。所有 Windows 版本都包括 netsh.exe。

可以单独收集每个日志。或者，可以使用Microsoft提供的一些工具将它们收集在一起。为此，请遵循以下部分中的步骤。

手动收集

在要加入 AD 域的客户端计算机上下载并安装 Wireshark。
使用管理员权限启动应用程序，然后开始捕获。
尝试加入 AD 域以重现错误。记录错误消息。
停止在应用中捕获并将网络跟踪保存到文件中。
收集位于 %windir%\debug\netsetup.log 的 netsetup.log 文件。

使用身份验证脚本

身份验证脚本是由Microsoft开发的轻型 PowerShell 脚本，用于简化日志收集，以排查身份验证相关问题。若要使用它，请执行以下步骤：

在客户端计算机上下载身份验证脚本。将文件解压缩到文件夹。
使用管理员权限启动 PowerShell 窗口。切换到包含这些提取文件的文件夹。
运行 start-auth.ps1，当出现提示时，接受最终用户许可协议，并在警告不受信任的发布者时允许执行。

注释

如果由于执行策略不允许运行脚本，请参阅 about_Execution_Policies。
命令成功完成后，请尝试加入 AD 域以重现错误。记录错误消息。
运行 stop-auth.ps1，如果出现关于不受信任发布者的警告，请允许执行。
日志文件保存在 authlogs 子文件夹中，其中包括 Netsetup.log 日志和网络跟踪文件（Nettrace.etl）。

使用 TSS 工具

TSS 工具是由Microsoft开发的另一种工具，用于简化日志收集。若要使用它，请执行以下步骤：

在客户端计算机上下载 TSS 工具。将文件解压缩到文件夹。
使用管理员权限启动 PowerShell 窗口。切换到包含这些提取文件的文件夹。
运行下面的命令：
```
TSS.ps1 -scenario ADS_AUTH -noSDP -norecording -noxray -noupdate -accepteula -startnowait
```
如果系统提示，请接受 EULA；如果出现不受信任发布者的警告，请允许执行。

注释

如果由于执行策略不允许运行脚本，请参阅 about_Execution_Policies。
该命令需要几分钟才能完成。命令成功完成后，请尝试加入 AD 域以重现错误。记录错误消息。
运行TSS.ps1 -stop，如果收到关于不受信任发布者的警告，请允许执行。
日志文件保存在 C：\MS_DATA 子文件夹中，并且已压缩。 ZIP 文件名遵循 TSS_<hostname>_<date-time><>-ADS_AUTH.zip格式。
zip 文件包括 Netsetup.log和网络跟踪。网络跟踪文件名为 <hostname>_<date>-<time>-Netsh_packetcapture.etl。

概要