QNAP TS-809U: Domänenbenutzer / -gruppen verschwinden, und der Server muss der AD-Domäne erneut hinzugefügt werden

Wir haben eine TS809U, mit der wir der Domäne beigetreten sind. Freigaben und Zugriffsrechte funktionieren wie gewohnt mit den Domänenbenutzern und alles ist so, wie es sein sollte. Nach einigen Wochen / Monat verschwinden jedoch die Domänenbenutzer und -gruppen aus dem TS809, und ich muss die Domäne erneut manuell hinzufügen. Nach dem erneuten Beitritt zur Domäne wiederholt sich der Prozess innerhalb des gleichen Zeitrahmens, und ich muss der Domäne erneut beitreten.

Es gibt keine Fehler in den Protokollen in der Webschnittstelle und es zeigt an, dass der NAS erfolgreich der Domäne beitritt. Ich habe den TS809U auf die neueste Firmware 4.0.3 (von 3.x) aktualisiert, in der Hoffnung, dass dies dadurch behoben wird. Das Problem bleibt jedoch bestehen.

Hat jemand das schon mal gesehen und was könnte das Problem sein oder wie kann es weiter behoben werden?

Die einzige Nachricht, die ich in der Ereignisanzeige finden konnte, die auf den NAS verweist, ist ein 5722, der möglicherweise in die Richtung des nachstehenden Kommentars zeigt:

Das Sitzungssetup vom Computer konnte NASC473CDnicht authentifiziert werden. Die Namen der Konten, auf die in der Sicherheitsdatenbank verwiesen wird, lauten NASC473CD$.
Der folgende Fehler ist aufgetreten:
Zugriff wird verweigert.

Der Zeitpunkt zwischen dem Verschwinden und dem erneuten Erscheinen der Einträge scheint 14 Tage zu sein. Unsere Domain basiert (noch) auf Windows Server 2003.

Aktualisieren

Update: Das Problem ist wieder aufgetaucht, aber die Protokolle zeigten nichts Interessantes. wbinfo -t(Testen des Vertrauensgeheimnisses) funktionierte nicht und (nicht überraschend) auch nicht wbinfo -c(Ändern des Vertrauensgeheimnisses) . Ich habe festgestellt, dass der aktuelle kerberos5-Ticketshop nicht aktualisiert wurde und die Gültigkeit der kerberos-Tickets abgelaufen ist, die möglicherweise verbunden sind. Ich habe jetzt /sbin/update_krb5_ticketdie Crontab hinzugefügt, um zu sehen, ob das hilft (und es wird jetzt jede Stunde aktualisiert).

Update 2014-02-25

Immer noch kein Erfolg. log.wb-DOMAINNAMEzeigt, dass uns anscheinend der Zugriff verweigert wird, wahrscheinlich aufgrund abgelaufener Anmeldeinformationen oder ungültiger Geheimnisse. Sie sind sich nicht sicher, wie Sie vorgehen sollen, da die Kerberos-Ticketliste ( klist) ein gültiges Ticket zeigte, als es auftrat.

log.wb-DOMAINNAMEzeigt an:

[2014/02/25 03:05:20.545176, 3] winbindd/winbindd_pam.c:1902(winbindd_dual_pam_auth_crap) could not open handle to NETLOGON pipe (error: NT_STATUS_ACCESS_DENIED) [2014/02/25 03:05:20.545198, 2] winbindd/winbindd_pam.c:2003(winbindd_dual_pam_auth_crap) NTLM CRAP authentication for user [DOMAINNAME]\[MACHINE$] returned NT_STATUS_ACCESS_DENIED (PAM: 4) [2014/02/25 03:05:20.548424, 3] winbindd/winbindd_pam.c:1841(winbindd_dual_pam_auth_crap) [20497]: pam auth crap domain: DOMAINNAME user: MACHINE$ 

(Die gleichen Fehlermeldungen werden angezeigt, wenn Sie sich auf Benutzer beziehen). Zumindest scheint das Problem zu sein, dass der Server antwortet, ACCESS_DENIEDwenn Samba versucht, die NETLOGONRessource zu nutzen, soweit ich das verstanden habe. Ich entdeckte jedoch, dass einer der DNS-Server auf dem TS809 auf einen externen Server eingestellt war - und nicht auf einen Server in der Domäne. Ich habe die DNS-Server so aktualisiert, dass sie auf unsere AD-DC-s verweisen, um zu sehen, ob dies der Grund sein könnte (wenn sie auf den externen Server übergeht, wird der Host nicht gefunden, anstatt Timeouts für interne, domänenbasierte Hosts.) .

Update 2015-03-04. Automatisiertes Wiedervereinigungsskript, das als Workaround bereitgestellt wird.

Wir sind immer noch nicht näher an der Festlegung einer dauerhaften Lösung, aber wir sehen derzeit jede Woche Auszeiten. Dies scheint die gleiche Zeit wie ein gültiges Kerberos-Ticket zu sein, aber ich konnte keine Einstellung finden, die es ändert.

Ich habe jedoch ein kleines Skript erstellt, das überprüft, ob wir die Benutzerliste aus der Domäne verloren haben, und bei Bedarf dem Server erneut beitritt. (Mit Sambas net rpc joinBefehl .) "Benutzername" ist ein Benutzer in der Domäne, der Zugriff auf Computer zur Domäne haben kann (nur für diesen Zweck haben wir einen Benutzer für qnap erstellt):

COUNT=`wbinfo -g | grep DOMAINNAME | wc -l`  if [ "$COUNT" -lt "1" ] then /usr/local/samba/bin/net rpc join -Uusername%password fi 

Dieses Skript wird auf dem qnap mit cron ausgeführt (suchen Sie in Google nach qnap cron, wie Sie cron richtig einrichten). Das hat in den letzten Monaten anständig funktioniert.