сбой авторизации dhcp сервера код ошибки 20070
Сбой авторизации dhcp сервера код ошибки 20070
igorsmolin
Коллеги, приветствую! В этой статье мы познакомимся с процессом удаления авторизованных DHCP серверов. Ответим на вопросы: Что это такое? Зачем это нужно? Разберем несколько сценариев применения.
Что такое авторизация DHCP и зачем это нужно?
Перед тем, как перейти к конкретным действиям, предлагаю немного уделить время теории и проблематике. Начнем с того, что мы попробуем понять что это такое — Авторизация DHCP сервера.
Для получения сведений по этому вопросу предлагаю, для начала, обратиться к документации Microsoft:
If you are installing DHCP in a domain environment, you must perform the following steps to authorize the DHCP server to operate in the domain.
Unauthorized DHCP servers that are installed in Active Directory domains cannot function properly, and do not lease IP addresses to DHCP clients. The automatic disabling of unauthorized DHCP servers is a security feature that prevents unauthorized DHCP servers from assigning incorrect IP addresses to clients on your network.
Другими словами, пока мы не авторизуем сервер DHCP, он не будет работать для наших клиентов и не сможет выдавать адреса в аренду. Эта функция сделана для безопасности, для предотвращения ситуации выдачи некорректных настроек для DHCP клиентов.
Проведем небольшой эксперимент для того, чтобы понять на практике, как работает эта функция.
Для этого смоделируем небольшую доменную сеть из 4 узлов:
Лаборатория развернута, DHCP серверы авторизованы, приступим к тестам.
DHCP сервер lab-dhcp1.party. hard функционирует корректно. 2 клиента получили конфигурацию и сервер зафиксировал аренду.
А теперь попробуем деавторизовать сервер DHCP и еще раз получить конфигурацию DHCP на клиентах.
Сервер неавторизован, клиенты не получают конфигурацию.
Снова авторизуем хост.
Сетевые адаптеры клиентов вновь получили настройки, сервер зафиксировал аренду.
Где содержится информация об авторизованных серверах?
Как мы уже могли увидеть, оснастка в DHCP уже владеет информацией об авторизованных серверах. Возникает вопрос — Откуда?
При подключении к меню Управление авторизованными серверами в оснастке DHCP, происходит обращение к разделу конфигурации Active Directory, который реплицируется между другими контроллерами во всем домене.
Давайте посмотрим где конкретно хранятся объекты серверов DHCP.
Для этого откроем оснастку Редактирование ADSI:
Указываем настройки в соответствии с иллюстрацией. Перейдя в каталог NetServices, мы увидим объекты авторизованных серверов.
Зачем может понадобиться деавторизовывать сервера?
Для чего нужна процедура авторизации теперь понятно, но зачем нужна обратная процедура — деавторизация?
При выводе из эксплуатации DHCP серверов, могут произойти незначительные, но раздражающие ошибки. Не уделив должного внимания удалению (деавторизации) авторизованных серверов, мы обязательно столкнемся с неактуальной и устаревшей информацией в списке доступных хостов при подключении к DHCP серверам и с несуществующим объектами в Active Directory.
Один из очень частых сценариев, при котором может возникнуть вышеуказанная проблема — вывод из эксплуатации сервера или серверов. Например, больше нет необходимости держать сервер DHCP в удаленном филиале (сайте), т. к сайт будет полностью удален по причине переезда.
Для того, чтобы в каталогах AD не оставалось неактуальной или устаревшей информации о DHCP серверах, необходимо деавторизовать сервера.
Выполнить эту процедуру мы можем заранее (пока хост еще выполняет свои функции), либо, позже (когда нас уже начали раздражать лишние хосты DHCP, при подключении к авторизованным серверам 🙂 ).
Начинаем удалять авторизованные сервера
Как я уже написал, частных сценариев может быть несколько. Сведем их до общих и рассмотрим ситуации.
DHCP сервер доступен
Пожалуй самый простой сценарий с которым мы можем столкнуться, это тот, где хост выполняющий роль DHCP — доступен. В таком случае мы можем деавторизовать его несколькими вариантами:
Для этого нам понадобится оснастка DHCP, зайдем в нее.
Выбираем пункт Управление авторизованными серверами. Выбираем интересующий нас хост и нажимаем Деавторизовать. После повторного открытия управления серверами или нажатия кнопки «Обновить», доступных авторизованных серверов стало меньше.
Откроем командную строку на DHCP сервере и введем нижеуказанную команду для отображения авторизованных серверов:
Результатом будут 2 авторизованных узла.
Для деавторизации введем следующую команду от имени администратора:
Сервер был успешно удален из списка авторизованных.
Еще раз запросим информацию
Похоже, что мы успешно справились с задачей.
DHCP сервер недоступен
В случае если хост недоступен, нам также доступны несколько вариантов:
Откроем оснастку Редактирование ADSI, перейдем в нижеуказанный раздел и удалим объект DHCP сервера вручную.
Выполняем удаление авторизованного сервера вручную.
Выполним нижеуказанную команду на другом узле от имени доменного администратора.
После выполнения команды, недоступный хост lab-dhcp1.party. hard был удален.
Что если сервер появился в сети после деавторизации?
Но что делать, если сервер появился в сети после того, как он был удален из конфигурации Active Directory? Например, если он был восстановлен из бекапа и мы планируем снова ввести его в эксплуатацию?
В таком случае произойдет ситуация, при которой сервер DHCP будет считать, что он авторизован, однако в доменной структуре такая информация будет отсутствовать.
Очевидным решением может показаться повторная авторизация. Попробуем выполнить операцию.
Заходим в оснастку DHCP вернувшегося в онлайн хоста. Обратите внимание, что с точки зрения сервера, он авторизован.
Выполняем деавторизацию через оснастку DHCP.
Похоже, что мы столкнулись с проблемой.
Возникает ошибка «The parameter is incorrect» при выполнении операции деавторизации сервера, сведения об авторизации которого уже были удалены. Либо ошибка «The specified servers are not present in the directory service».
Для решения проблемы нам потребуется ввести в командной строке:
Теперь сведения об авторизованных серверах DHCP в Active Directory актуальны и только что добавленный хост появится в меню «Управление авторизованными серверами» оснастки DHCP.
Итоги
Итак, как я и декларировал в самом начале, нам с вами удалось немного углубиться в тему авторизации DHCP. Понять что это такое, зачем оно нужно, как работает эта функция, как ею управлять, рассмотрели различные сценарии использования. Вполне возможно, что эта статья станет основой для другой, которая будет написана в будущем и мы сможем узнать дополнительные подробности, либо познакомиться с на ее основе с другой, смежной темой.
DHCP не включен на сетевом адаптере «Беспроводная сеть», «Ethernet», «Подключение по локальной сети»
Самая популярная проблема при подключении ПК или ноутбука к интернету, это когда вроде бы все подключили, но интернет не работает. В этом случае может быть очень много разных симптомов, причин и решений. Первым делом нужно выяснить в чем причина. Рекомендую ориентироваться на ошибки, которые отображаются в Windows. Мало кто сразу запускает диагностику неполадок. А зря, ведь если само средство диагностики и устранения неполадок не сможет все исправить, то хотя бы сообщит нам об ошибке и подскажет где и как искать проблему. Как в нашем случае с ошибкой «DHCP не включен на сетевом адаптере. «, которую можно увидеть в Windows 10, Windows 7 и т. д.
Когда после подключения кабеля, или после подключения к Wi-Fi сети (или попытки подключения) вы видите ошибку «Неопознанная сеть», «Подключение к интернету отсутствует», «Нет подключения. Вы не подключены ни к одной сети», «Без доступа к интернету» и т. д., то запустите диагностику неполадок.
Вполне возможно, что в процессе диагностики появится ошибка «DHCP не включен на сетевом адаптере Беспроводная сеть» (при подключении по Wi-Fi) :
При этом в самой системе (в моем случае в Windows 10) статус подключения к сети будет выглядеть примерно вот так (может немного отличаться в зависимости от способа подключения) :
Если у вас все примерно так же, то вы зашли по адресу. Сейчас покажу, как можно решить эту проблему. Но сначала несколько слов о том, почему появляется эта ошибка, и почему этот DHCP не включен на сетевом адаптере.
Если просто и коротко, то DHCP позволяет Windows автоматически получать IP-адреса от роутера, или оборудования вашего интернет-провайдера. А эта ошибка появляется тогда, когда DHCP не может автоматически получит адреса, или не может получить те адреса, которые прописаны вручную. Чаще всего это происходит после того, как сам пользователь, или какой-то софт меняет настройки DHCP в свойствах адаптера «Беспроводная сеть», или «Ethernet». Это в Windows 10. А в Windows 7 это адаптеры «Беспроводное сетевое соединение» и «Подключение по локальной сети».
Как исправить ошибку «DHCP не включен на сетевом адаптере. » в Windows 10?
Для Windows 8 и Windows 7 эти рекомендации так же должны подойти. Некоторые пункты меню и настройки могут немного отличатся. Я буду показывать все на примере Windows 10.
Решение №1: через диагностику сетей Windows
Если вам повезет, то сразу после запуска средства диагностики появится следующее сообщение: «Автоматически обновлять параметры сети. В системе поддерживается автоматическое определение параметров сети». Не задумываясь нажимайте на «Внести это исправление».
Или после того, как будет обнаружена проблема, например, «DHCP не включен на сетевом адаптере Беспроводная сеть» нажмите на пункт «Попробуйте выполнить восстановление от имени администратора».
Если системе удастся автоматически решить эту проблему, то напротив обнаруженной проблемы появится надпись «Исправлено» и интернет заработает.
Если не получится с первого раза, то перезагрузите компьютер и запустите диагностику неполадок повторно.
Решение №2: проверяем настройки DHCP вручную
Первым делом нам нужно открыть окно «Сетевые подключения». Сделать это можно с помощью команды ncpa. cpl. Нажмите сочетание клавиш Win+R, скопируйте эту команду в поле «Открыть» и нажмите «Ok».
Дальше нужно нажать правой кнопкой мыши и открыть «Свойства» того адаптера, при подключении через который у вас возникла эта ошибка. В случае с Windows 10: «Ethernet» – это подключение по кабелю, а «Беспроводная сеть» – подключение по Wi-Fi.
Дальше выделяем протокол «IP версии 4 (TCP/IPv4)» и нажимаем на кнопку «Свойства». Выставляем автоматическое получение IP и DNS адресов, как показано на скриншоте ниже и нажимаем «Ok».
Если подключение к интернет не появится и статус «Неопознанная сеть» возле адаптера не пропадает, то убедитесь, что вы меняли настройки именно того адаптера, через который выполняете подключение. Так же выполните перезагрузку компьютера.
Выше я показал два основных решения, с помощью которых чаще всего удается избавится от этой ошибки. Если у вас ничего не получилось – смотрите другие решения.
Сбой авторизации dhcp сервера код ошибки 20070
Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. Ранее мы с вами говорили про принципы работы DHCP протокола и разбирали его поэтапно. В сегодняшней заметке, мне бы хотелось осветить вопрос по защите и безопасности DHCP сервера, и речь пойдет, о авторизации и решения проблем с ней. Ситуаций в жизни бывает много, так что как говорится прокачаем свой навык траблшутинга. Уверен, что мой скромный опыт будет кому-то полезен.
Что такое авторизованный DHCP
Когда вы устанавливаете Active Directory в своей компании, то у вас появляется тройка ролей, которые очень часто идут вместе, я говорю про AD, DNS и DHCP. Эта тройка позволяет системному администратору получить все прелести и преимущества доменной структуры. Очень важным аспектом любой современной IT инфраструктуры, является аспекты безопасности и в случае DHCP, это очень актуально. Небольшое воспоминание из практики. Когда я еще только начинал свой путь инженера, то я плохо разбирался в сетевых протоколах и технологиях, знал так сказать азы. Я знал, что у нас в окружении установлен Windows DHCP сервер и, что он сам раздает ip-адреса. В один из рабочих дней мне позвонил менеджер и сказал, что у него пропал интернет и доступ к сетевым шарам.
Когда я к нему подошел, то стал проводить сетевую диагностику, где одним из этапов было вычисление полученного ip-адреса. Какого же было мое удивление, когда я за место диапазона 192.168.100.0 увидел диапазон адресов 192.168.1.0. Я точно знал, что на моем DHCP сервере такой области нет. В итоге оказалось, что один из программистов принес WIFI роутер в то время, это было диковинкой, а так как мозги данного устройства работали на Linux платформе, то его DHCP сервер отрабатывал быстрее, чем в Windows сервере, что в итоге вело к выдаче адресов из другой области. Вот для предотвращения таких вещей и есть авторизация DHCP сервера.
У каждого вендора своя технология авторизация данного сервиса, например в Cisco оборудовании есть технология DHCP snooping, которая делит порты на которых работает служба на да типа, на которых, это можно делать и на которых нельзя. Там где нельзя, все пакеты с DHCP сервиса будут дропаться. В Windows среде есть авторизация сервера в инфраструктуре Active Directory. Вся соль в том, чтобы если в сети появится Windows DHCP сервер и он не будет авторизован в Active Directory, то его скоупы просто не заработают и выдачи ip-адресов не будет.
Требования к серверу перед авторизацией
Авторизация DHCP сервера является обязательной процедурой и требует соблюдения некоторых вещей:
Интересные моменты
Методы авторизации DHCP в Active Directory
Давайте теперь поговорим, о методах которые смогут добавить ваш DHCP сервер, как доверенный в раздел конфигурации базы данных Active Directory.
Первый метод авторизации DHCP
Я покажу его на примере Windows Server 2019, когда вы установили роль DHCP, вас попросят закончить настройку. В итоге у вас откроется окно мастера, где вас попросят авторизовать в Active Directory, обращаю внимание, что вы на этом этапе можете ее пропустить. Напоминаю, что права должны быть минимум администратора домена или аналогично делегированные.
Второй метод авторизации DHCP
Вторым методом я могу выделить возможность, произвести авторизацию сервиса в AD в самой оснастке, после настройки области IPV4 или IPV6. Для этого нажмите в оснастке по самому корню правым кликом и выберите в контекстном меню пункт «Авторизовать».
Так же в данной оснастке можно авторизовать и удаленный сервер, для этого щелкните правым кликом по корню и выберите пункт «Список авторизованных серверов».
В окне «Список авторизованных серверов» нажмите кнопку «Авторизовать». У вас откроется дополнительное окно, где можно указать DNS имя или IP-адрес. Я впишу мой второй дополнительный сервер с ip-адресом 192.168.31.3.
Произойдет поиск роли DHCP на данном сервере. Если она там есть то появится дополнительное окно, где нужно нажать «ОК».
Все сервер у вас должен появится в списке авторизованных.
Авторизовать DHCP-сервер с помощью Netsh
Откройте командную строку с правами администратора и введите следующую команду для авторизации DHCP-сервера.
Команда показывает мои текущие авторизованные серверы в домене, как видим у меня он один dc01/root/pyatilistnik.org. В окне «Управление авторизованными серверами» его видно. Далее авторизуем новый сервер svt2019s01.root.pyatilistnik.org с ip-адресом 192.168.31.3
После этого я сделал вывод списка авторизованных DHCP и вижу, что их теперь два.
Авторизовать DHCP-сервер с помощью PowerShell
Естественно я не могу обойти стороной любимый язык PowerShell, так как он с поставленной задачей справляется на 5+. Откройте свой PowerShell в режиме администратора и выведите для начала список текущих DHCP адресов в домене.
Вижу, что в данный момент он один.
Теперь, чтобы добавить второй сервер, выполните команду:
Как деактивировать DHCP сервер
Логично предположить, что методов деактивации тоже четыре.
Где прописывается DHCP в конфигурации Active Directory
Теперь хочу вам показать, где в классах и с какими атрибутами прописываются записи авторизованных DHCP серверов. Откройте редактор атрибутов AD и зайдите в раздел конфигурации. Перейдите по пути: CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org. В данном контейнере вы увидите записи ваших авторизованных DHCP сервисов и очень важную запись CN=DhcpRoot, если ее нет, то это плохо.
Когда вы успешно авторизовываете ваш сервис в Active Directory, то он должен создать запись класса dHCPClass в CN должно быть его имя и различающееся имя (distinguished name). Если зайти в свойства любой записи сервиса, то вы обнаружите атрибут dhcpServer, тут должен быть прописан ip-адрес и его DNS-имя.
В итоге у вас появится контейнер «Services», далее «NetServices», в котором вы увидите весь список.
Из-за не правильной деактивации DHCP или восстановлении сервера из резервной копии приличной давности, он у вас может не запускать и при попытке пройти авторизацию написать «Параметр задан неверно»
В таких случаях вам нужно проверять наличие CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org записи вашего сервера. Если ее нет, то придется создать ее с нуля. Через правый клик создаем новый объект AD.
Выбираем класс объекта dhcpServer.
Прописываем Common-name вашего сервера.
dhcp-Unique-key ставим 0.
В dhcp-identification прописываем distinguished name сервера.
После создания записи, попробуйте перезапустить DHCP на нужно сервере. Если не поможет, то удаляете данную запись, и заново пробуете его авторизовать, бывает помогает.
Как дать права на авторизацию DHCP сервера
На первом шаге, вам необходимо указать пользователя или группу, для которой будут выданы права на управление DHCP авторизацией.
Выбираем создание особой задачи для делегирования.
Оставляем пункт «Этой папкой, существующими в ней объектами и созданием новых объектов в этой папке»
На следующем шаге, даем полные права. После этого у нужной группы появится возможность авторизовывать сервера DHCP в вашем домене Active Directory.
Сбой авторизации dhcp сервера код ошибки 20070
Добрый день! Уважаемые читатели и гости одного из крупнейших IT блогов рунета Pyatilistnik.org. В прошлый раз я вам рассказывал, как устанавливается и что из себя представляет DHCP сервер, на чем его можно организовывать. Уверен, что у каждого на предприятии используется данный сервис. В сегодняшней публикации я хочу вам показать решение по ошибке авторизации DHCP в Active Directory и звучит она вот так «Указанные серверы уже существуют в службе каталогов (The specified servers are already present in the directory service)».
Описание ситуации
Есть лес Active Directory, в одном из доменов была установлена служба DHCP, которая исправно работала. На данном контроллере в какой-то момент служба DHCP остановилась и пул адресов перестал быть активным, в интерфейсе было видно, что сервис запущен, но не авторизован в AD. При попытке его авторизации выскакивало окно:
Я вам уже подробно описывал процесс авторизации DHCP в Active Directory, там я рассмотрел:
Как починить авторизацию DHCP
Для начала я первым делом полез в логи Windows, чтобы посмотреть что там происходит, для этого можно воспользоватся просмотром событий или утилитой Windows Admin Center. Там я нашел ошибку 1035 и 1036:
А так же ошибка ID 1046:
This machine cannot reach its directory service enterprise and it has encountered another DHCP service on the network belonging to a directory service enterprise on which the local machine is not authorized.
Some unexpected network error occurred.
(Служба DHCP/BINL на локальном компьютере, принадлежащем административному домену Windows root.pyatilistnik.org, определила, что она не авторизована для запуска. Он прекратил обслуживание клиентов. Ниже приведены некоторые возможные причины этого:
Этот компьютер является частью службы каталогов и не авторизован в том же домене. (Для получения дополнительной информации см. Справку в инструменте управления службами DHCP).
Эта машина не может связаться со своей службой каталогов, и в сети обнаружена другая служба DHCP, принадлежащая службе каталогов, на котором локальный компьютер не авторизован.
Произошла непредвиденная ошибка сети.)
Как видно из описанных выше ошибок нам нужно проверить:
Если обратиться к решению ошибки ID 1036 и 1035, то Microsoft советует произвести перезапуск службы:
Для этого полностью остановите службу DHCP, через все задачи «Остановить«.
или можете через PowerShell:
После этого запустите службу, через графический интерфейс или через команду:
Проверьте появилась ли возможность авторизовать вашу службу. Если ошибка «Указанные серверы уже существуют в службе каталогов (The specified servers are already present in the directory service)» осталась, и вы в логах видите так же события ID 1046, то нужно проверить сетевые настройки. Для этого откройте окно выполнить и введите в нем ncpa.cpl, чтобы вызвать сетевые настройки.
Проверяем, что у вас не прописаны внешние DNS сервера.
Если были внесены изменения, то пробует проверить снова. Следующим, этапом я бы порекомендовал открыть командную строку от имени той учетной записи или запустите PowerShell, это не принципиально, у которой есть права «Администратора предприятия (Enterprise Admin)«, именно у него есть права на авторизацию сервиса. Далее введите команду для авторизации:
Если все хорошо, то должно активироваться, но у меня выскочила ошибка:
Помня в голове про ошибку 1046, я понимал, что либо была повреждена база данных, либо была кривая запись в контейнере Services. Давайте начнем с контейнера, напоминаю, что вам необходимо открыть утилиту ADSIEdit.msc и перейти в раздел конфигурации, там далее CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org, не забудьте поменять данные на свой домен. В итоге я вижу запись dhcpServer: CN=dc01.root.pyatilistnik.org,CN=NetServices,CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org
В итоге попробуйте удалить старую запись, для этого просто через контекстное меню выберите соответствующий пункт.
Теперь пробуйте авторизовать роль, мне помогло и ошибка «Указанные серверы уже существуют в службе каталогов (The specified servers are already present in the directory service)» исчезла, запись в контейнере CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org так же была пересоздана.
Переустановка роли из-за поврежденной базы
Ошибка может оставаться и проблема тут к сожалению связана с поврежденной базой данных роли. Если у вас есть бэкап, то попробуйте восстановить из него, например в случае если у вас это виртуальная машина. По умолчанию встроенное резервное копирование делается в папку:
Пробуем удалить и заново установить роль DHCP. Проще всего, это сделать через PowerShell
Первый является псевдонимом для второго. Далее перезагрузите сервер, если старая база вам не нужна зачистите все в папке C:\Windows\System32\dhcp
После переустановки DHCP я снова проверил с помощью BPA роль DHCP.
На этот раз было опубликовано предупреждение о том, что группа безопасности DHCP будет отсутствовать. Я использовал команду netsh для добавления группы безопасности dhcp.
Затем остановка и повторный запуск службы DHCP и другое сканирование с помощью инструмента BPA больше не отображали никаких предупреждений или ошибок. И новый идентификатор 1035/1036 больше не виден в средстве просмотра событий.