
Когда пользователь входит в систему Windows на компьютере, подключенном к домену Active Directory, он может увидеть следующее сообщение об ошибке:
There are currently no logon servers available to service the logon request.
Это сообщение говорит о том, что ни один из контроллеров домена AD (LogonServer) не доступен с этого компьютера для аутентификации пользователя. Проблема может быть связана как с самим клиентским устройством, так и с глобальной проблемой, связанной со здоровьем контроллеров домена или Active Directory.
Давайте рассмотрим распространенные причины этой ошибки и способы ее устранения.
- Убедитесь, что ваш компьютер подключен к локальной сети. Отключите и снова подключите сетевой кабель (если вы используете Ethernet) или перезагрузите точку доступа Wi-Fi;
- Попробуйте войти на компьютер с учетной записью локального администратора. Вы можете использовать либо встроенную учетную запись администратора, либо дополнительную учетную запись администратора (созданную вручную или с помощью Microsoft LAPS). Если вы не знаете пароль локального администратора, вы можете сбросить его.
Можно также попытаться войти на компьютер с помощью учетной записи пользователя домена, который вошел на этот компьютер ранее. По умолчанию Windows хранит учетные данные последних 10 учетных записей пользователей в локальном кэше (кэшированные учетные данные домена). Это настраивается с помощью параметра групповой политики Интерактивный вход: Количество предыдущих входов в систему для кэширования (в случае, если контроллер домена недоступен) в разделе Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options.
Количество пользователей, учетные данные которых кэшируются на компьютере, можно получить из реестра с помощью PowerShell:
(Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon").CachedLogonsCount
Если значение этого параметра равно 0, это означает, что пользователь домена не сможет войти на компьютер, если нет доступных контроллеров домена или компьютер не подключен к корпоративной сети. - Убедитесь, что Windows видит сетевые адаптеры;
- Убедитесь, что компьютер получил правильный IP-адрес от DHCP-сервера, используя
ipconfig /all
или PowerShell:Get-NetIPConfiguration
. Сбросьте сетевые настройки с помощью команд, приведенных ниже:
netsh winsock reset
netsh int ip reset - Если DHCP-сервер недоступен, компьютер получит IP-адрес 169.254.x.x. Обновите IP-адрес:
ipconfig /release & ipconfig /renew
. Если компьютер не получает IP-адрес, можно попробовать указать IP-адрес и DNS-серверы вручную; - Убедитесь, что на компьютере запущены службы DNS-клиента, DHCP-клиента и NetLogon. Перезапустите службы с помощью PowerShell:
Get-Service Dhcp, Dnscache, Netlogon | Restart-Service
- Проверьте, доступны ли DNS-серверы, указанные в настройках сетевых адаптеров:
nslookup -> your_domain_name
. Убедитесь, что вы получаете ответ от правильного DNS-сервера. Если DNS-серверы недоступны, убедитесь, что доступ к ним не заблокирован брандмауэром (UDP-порт 53). Проверить подключение к UDP-порту можно с помощью инструмента portquery:PortQry.exe –n your_dns_server -p both -e 53
Проверьте, есть ли статические записи DNS в hosts файл:Get-Content $env:SystemRoot\System32\Drivers\etc\hosts
. Удалите из файла ненужные записи. - Проследите маршрут до вашего DNS-сервера:
tracert your_dns_server
- Попробуйте найти контроллер домена в DNS:
nltest /dnsgetdc:woshub.com
. Убедитесь, что клиент может найти контроллер домена с помощью поиска:nltest /dsgetdc:woshub.com
- Попробуйте переключиться на другой контроллер домена AD (сервер входа) в Windows:
nltest /SC_RESET:WOSHUB\MUN-DC01.woshub.com
Если проблема подключения к DC затронула большое количество пользователей, необходимо проверить контроллеры домена и состояние AD.
- Проверьте состояние контроллера домена и репликации AD;
- Проверьте службу W32Time (NTP) и время на DC и клиентах. Оно не должно отличаться более чем на 5 минут;
- Убедитесь, что правила политики брандмауэра Windows Defender на контроллерах домена не блокируют входящий трафик от клиентов;
- Убедитесь, что служба netlogon запущена на DC. Проверьте, доступны ли административные ресурсы SYSVOL и NETLOGON:
net share
(у вас могут возникнуть проблемы с ресурсами sysvol и netlogon после восстановления Active Directory из резервной копии); - Если вы недавно вывели из эксплуатации контроллер домена, убедитесь, что он был удален правильно;
- Проверьте наличие SRV-записей для контроллеров домена AD в DNS (https://docs.microsoft.com/en-us/troubleshoot/windows-server/networking/verify-srv-dns-records-have-been-created). Если записи DC были удалены, это создаст проблемы для клиентов с поиском контроллера домена и установлением безопасного канала (доверительных отношений).
В этой статье я попытался описать типичные шаги по устранению неполадок, чтобы понять, почему серверы входа в Windows могут быть недоступны с клиентского компьютера.