ActiveDirectoryのブラウジング

マシリトさんの書き込み (2007-02-13 18:48) より:

社内LANにて、ADのComputerBrowser機能がうまく動作せず、困っています。

WINSを停止すると、遠方のADサーバにUNCでアクセスできなくなってしまう。
WINSを開始すると、UNCアクセス可能となるため、WINSは正常動作していそうです。

WINSを構成している。ADサーバと遠方の信頼関係を結んでいるADサーバ。
Push/Pull設定。（ADが正常動作すれば不要と思っています）
です。

ということは、
ADの信頼関係がうまく結べていないと思いました。。。
しかし、dnslintでの通信結果では異常なし。

Active Directory と computer browse は直接の因果関係はありません．
ですので「Active Directory の」というのは間違った認識です．
敢えて書くなら「Active Directory がある環境下での」でしょう．

これも何度も書いていますが，
「見える」ことと「繋がる」ことは理屈が少々違います．
ですので「見える」のに繋がらないとか，見えないのに「繋がる」のも
状況としては正しいです．
WINS はあくまでも NetBIOS 名を解決するだけのものですので，
それが機能しなければ UNC で接続できないのは全く正しい動作です．

WINS Server の有無と Active Directory が正常に稼働するのとは
やはり直接の因果関係はありません．
Active Directory で必要な名前解決の仕組みはあくまでも DNS です．
WINS ではありません．

ですので，Active Directory が正常に動いている，
あるいは信頼関係が正常に機能していることと，
computer browse が正常に機能していないことは別の問題です．

まずは月並みですが，この辺
http://www.monyo.com/technical/windows/msnet/
をご参照ください．
どこまで「見える」のか，どこが「見えない」のかを明確にしないと，
どこまで機能していてどこが機能していないのかわかりません．

マシリトさんの書き込み (2007-02-14 01:27) より:

引用:
WINS Server の有無と Active Directory が正常に稼働するのとは やはり直接の因果関係はありません． Active Directory で必要な名前解決の仕組みはあくまでも DNS です． WINS ではありません．

DNSで名前解決するのはもっともですが、今回はWINSを外すと、解決不可です。
ということで、
DC-B1及びDC-B2との信頼関係がうまく結べていないと思いました。。。

見える部分として、(ComputerBrowserと関連抜きで、ざっくりと)
WINSだとUNCアクセス可能。
WINS無しだと、IPでのアクセス可能。

見えない部分として、(ComputerBrowserと関連抜きで、ざっくりと)
フォレストドメインのグループが参照できない。
最優先となるハズである、ドメインコントローラがマスタブラウザになっていない。
（他クライアントWindowsXPやWindows2000がマスタブラウザになっている）
ドメインコントローラだけのネットワークにしても（DCサーバ2台しかLAN上にいない状態）、フォレストドメインのグループがブラウズできない。

なにが「解決不可」なのでしょうか？

WINS が無いと computer name（つまり NetBIOS）の名前解決ができないのは
理屈の上では当たり前のことです．

DNS で解決できるのは FQDN で，
例外として DNS suffix が定義されているとか，そういった事情だと思います．
また，信頼関係を結ぶ際の DNS の構成もちゃんと理屈がありますし．

ちなみにここは「見える」こととは関係ありませんよね？

つまり local の network の domain controller も含めて，
手前の Active Directry に所属する computer は
全く参照できないという理解でよろしいですか？

「LAN 上」と表現されていますが，network segment は同じですか？

同じであるにもかかわらず domain controller が master browser になっていない？

マシリトさんの書き込み (2007-02-14 15:16) より:

引用:
DNS で解決できるのは FQDN で， 例外として DNS suffix が定義されているとか，そういった事情だと思います． また，信頼関係を結ぶ際の DNS の構成もちゃんと理屈がありますし．

AD環境を構築し、クライアントを参加させると、abc.local等といったSuffixが自ずと利用できるハズでは？
（今回の件とは全く違うような気がしますけど）

引用:
ちなみにここは「見える」こととは関係ありませんよね？

もちろん関係ありません。
現状として、AD環境での名前解決ができていないからWINSを利用せざるを得ない部分となっています。
WINSを外したいのですが、AD環境上での名前解決ができないのがなぜなのか？
という問題を抱えています。AD環境上のDNSが問題では？と推測しています.

上記環境の私の認識では、DC-A1,DC-A2のどちらかがDomainMasterBrowserとなり、MicrosoftWindowsNetwork上でフォレストドメインが表示され、
フォレストドメイン内でDC-A1及びDC-A2の2台のみがComputerBrowseされると思っていました。

その時は、単体での動作調査時間がさほど掛けられなかったので、Networkを元へ戻し、ActiveDirectory参加させているWindowsServer2003をLocalMasterBrowserとして動作させました。

どのように「元に戻し」たのでしょうか？
その状態で正常に動いているなら，そこに手がかりがあるのでは？

あるいは同じ Workgroup 内に Samba Server があるなんてことはありませんよね？
※一部の NAS では Samba が動いています．

マシリトさんの書き込み (2007-02-15 18:45) より:

Domain Controllerだけの2台しかPCがないNetwork環境にしてある状態ですが、
MicrosoftWindowsNetwork表示でフォレストドメインは表示されているのに、
フォレストドメイン参照できなかったので、2台のDomain Controllerしか接続させていないSwitchHUBへ、他のサーバをSwitchHUBへ接続させました。

その状態で検証を続ける時間が採れなかったので、やむを得ませんでした。
DomainControllerのDNSがISPのDNSへフォワードしてありましたので、エンドユーザーのインターネット利用でどうしても必要でした。
単体での切り分けをしてみてどうなるか検証してみますね。