Устранение проблем со входом в систему

Вход в компьютер — настолько рутинная часть дня, что легко даже не думать о процессе входа в систему. Тем не менее, иногда что-то может пойти не так, когда пользователи входят в Windows. В этой статье я расскажу о некоторых вещах, которые могут вызывать сбои при входе в систему, и покажу вам, как обойти эти проблемы.

Прежде чем я начну

Прежде чем я начну, я просто хочу быстро отметить, что для того, чтобы предоставить как можно больше полезной информации, я не буду говорить о наиболее очевидных причинах сбоев при входе в систему. В этой статье предполагается, что перед началом процесса устранения неполадок вы проверили, что пользователь вводит правильный пароль, срок действия пароля пользователя не истек и что между рабочей станцией и контроллером домена нет основных проблем со связью.

Системные часы

Это может показаться странным, но часы рабочей станции действительно могут быть причиной неудачного входа в систему. Если часы отличаются от времени на контроллерах домена более чем на пять минут, вход в систему завершится ошибкой.

Если вам интересно, причина этого связана с протоколом аутентификации Kerberos. В начале процесса аутентификации пользователь вводит свое имя пользователя и пароль. Затем рабочая станция отправляет запрос сервера аутентификации Kerberos на сервер распространения ключей. Этот запрос сервера аутентификации Kerberos содержит несколько различных частей информации, в том числе:

• Идентификация пользователя
• Имя службы, которую запрашивает пользователь (в данном случае это служба получения билетов).
• Аутентификатор, зашифрованный главным ключом пользователя. Главный ключ пользователя получается путем шифрования пароля пользователя с использованием односторонней функции.

Когда сервер распространения ключей получает запрос, он ищет учетную запись пользователя в Active Directory. Затем он вычисляет главный ключ пользователя и использует его для расшифровки аутентификатора (также известного как данные предварительной аутентификации).

Когда рабочая станция пользователя создала аутентификатор, она поместила отметку времени в зашифрованный файл. Как только сервер распространения ключей расшифрует этот файл, он сравнивает метку времени с текущим временем на своих собственных часах. Если отметка времени и текущее время отличаются друг от друга в пределах пяти минут, то считается, что запрос сервера проверки подлинности Kerberos действителен, и процесс проверки подлинности продолжается. Если отметка времени и текущее время отличаются друг от друга более чем на пять минут, то Kerberos предполагает, что запрос является воспроизведением ранее захваченного пакета, и поэтому отклоняет запрос на вход в систему. Когда это происходит, отображается следующее сообщение:

Система не может войти в систему из-за следующей ошибки: Существует разница во времени между клиентом и сервером. Повторите попытку или обратитесь к системному администратору.

Решение проблемы простое; просто установите часы рабочей станции так, чтобы они совпадали с часами контроллера домена.

Сбои сервера глобального каталога

Еще одной серьезной причиной проблем со входом в систему является сбой сервера глобального каталога. Сервер глобального каталога — это контроллер домена, настроенный для работы в качестве сервера глобального каталога. Серверы глобального каталога содержат доступное для поиска представление каждого объекта в каждом домене всего леса.

При первоначальном создании леса первый контроллер домена, подключенный к сети, автоматически настраивается для работы в качестве сервера глобального каталога. Проблема в том, что этот сервер может стать единой точкой отказа, потому что Windows автоматически не назначает другие контроллеры домена в качестве серверов глобального каталога. В случае сбоя сервера глобального каталога только администраторы домена смогут войти в Active Directory.

Учитывая важность сервера глобального каталога, вы должны работать над предотвращением сбоев сервера глобального каталога. К счастью, вы можете назначить любой или все ваши контроллеры домена в качестве серверов глобального каталога. Имейте в виду, однако, что вам следует настраивать все ваши контроллеры домена для работы в качестве серверов глобального каталога только в том случае, если ваш лес состоит из одного домена. Наличие нескольких серверов глобального каталога — хорошая идея даже для лесов с несколькими доменами, но выяснить, какие контроллеры домена должны выступать в качестве серверов глобального каталога, — это что-то вроде искусства. Вы можете найти рекомендации Microsoft здесь.

Если ваш сервер глобального каталога уже вышел из строя, и никто не может войти в систему, лучшее, что вы можете сделать, — это поработать над тем, чтобы вернуть сервер глобального каталога в рабочее состояние. Существует способ разрешить пользователям входить в систему, даже если сервер глобального каталога не работает, но с этим связаны риски безопасности.

Если Active Directory работает в собственном режиме, то сервер глобального каталога отвечает за проверку членства пользователя в универсальных группах. Если вы решите разрешить пользователям входить в систему во время сбоя, членство в универсальных группах не будет проверяться. Если вы назначили явные отказы членам определенных универсальных групп, то эти запреты не будут действовать до тех пор, пока сервер глобального каталога не будет снова подключен к сети.

Если вы решите, что должны разрешить пользователям входить в систему, вам придется отредактировать реестр на каждом из ваших контроллеров домена. Имейте в виду, что редактирование реестра опасно, а ошибка может привести к поломке Windows. Поэтому я рекомендую сделать полную резервную копию системы, прежде чем продолжить.

С учетом сказанного откройте редактор реестра и перейдите по дереву реестра к . Теперь создайте новое значение DWORD с именем IgnoreGCFailures и установите для него значение 1. После внесения этого изменения вам придется перезапустить контроллер домена.

Сбой DNS-сервера

Если вы вдруг обнаружите, что ни один из ваших пользователей не может войти в сеть, а ваши контроллеры домена и серверы глобального каталога функционируют, возможно, произошел сбой DNS-сервера. Active Directory полностью зависит от служб DNS.

DNS-сервер содержит записи узлов для каждого компьютера в вашей сети. Компьютеры в вашей сети используют эти записи узлов для преобразования имен компьютеров в IP-адреса. Если произойдет сбой DNS-сервера, разрешение имени хоста также не удастся, что в конечном итоге повлияет на процесс входа в систему.

Есть две вещи, которые вам необходимо знать о сбоях DNS при устранении неполадок при входе в систему. Во-первых, сбои входа в систему могут произойти не сразу. Операционная система Windows поддерживает кэш DNS, который включает результаты предыдущих запросов DNS. Этот кэш предотвращает переполнение DNS-серверов рабочими станциями запросами разрешения имен для одних и тех же объектов снова и снова.

Во многих случаях рабочие станции кэшируют IP-адреса контроллеров домена и серверов глобального каталога. Тем не менее, элементы в кеше DNS в конечном итоге устаревают, и их необходимо обновить. Скорее всего, вы начнете замечать проблемы со входом в систему, когда срок действия кэшированных записей хоста начнет истекать.

Еще одна вещь, которую вам нужно знать о сбоях DNS-сервера, заключается в том, что часто помимо сбоев входа в систему существует множество других симптомов. Если компьютеры в вашей сети не настроены на использование вторичного DNS-сервера в случае сбоя основного DNS-сервера, вся среда Active Directory в конечном итоге остановится. Хотя есть и исключения, в целом отсутствие DNS-сервера в сети Active Directory в основном равносильно полному нарушению связи.

Вывод

Хотя я обсудил некоторые из основных причин сбоев при входе в сети Active Directory, важной частью процесса устранения неполадок является рассмотрение того, насколько широко распространена проблема. Например, если проблемы со входом возникают только на одном узле в большой сети, вы, вероятно, можете исключить сбои DNS или глобального каталога. Если бы виноват был сбой DNS или глобального каталога, проблема, скорее всего, была бы гораздо более распространенной. Если проблема связана с одной машиной, то проблема, скорее всего, связана с конфигурацией машины, подключением или учетной записью пользователя.