Perfil criado no samba ad dc não loga no Windows 10 e 11 [RESOLVIDO]

Carlos_Cunha
(usa Linux Mint)

Enviado em 19/11/2025 - 23:41h

Amigo, pelo que vi tem um monte de procedimentos que vc não fez ou fez pela mentade ou fez errado, não vale a pena revisar tudo(eu acho), refaça do zero seguindo a documentação oficial, e simples e bem facil(eu acho).




#-------------------------------------------------------------------------------------#
"Falar é fácil, me mostre o código." - Linus Torvalds
#-------------------------------------------------------------------------------------#

VitorS7
(usa Ubuntu)

Enviado em 04/12/2025 - 20:35h

O amigo Alex tinha toda razão.
O problema era justamente o DNS.

Porém para isso, criei novamente o dominio do zero para entender melhor a questão.

Detalhe mais que importante: Trabalho aqui apenas com uma interface de rede. Meu servidor por enquanto, não distribui IP (não é servidor dhcp).

Apresento duas soluções:

1 - Alterar o registro do Windows 10/11 para usar credenciais em cache ou cair em métodos legados (NTLM) mais permissivos, como nas versões anteriores:

Politicas de Segurança Local - Configurações de Segurança - Opções de Segurança - Segurança de rede: nível de autenticação LAN Manager - Enviar somente resposta NTLMv2 (Habilitado).

2 - Corrigir DNS aplicando as seguintes entradas nas zonas reversas e inversas

root@SRV01:/etc/bind# ls
db.192.168.1 db.aula.inet named.conf.default-zones rndc.key
db.192.168.2 db.example.local named.conf.local
db._msdcs.aula.inet named.conf named.conf.options

root@SRV01:/etc/bind# cat db.192.168.1
$TTL 604800
@ IN SOA ns1.example.local. admin.example.local. (
2
604800
86400
2419200
604800 )

@ IN NS ns1.example.local.

10 IN PTR ns1.example.local.
20 IN PTR www.example.local.
30 IN PTR server.example.local.

root@SRV01:/etc/bind# cat db.aula.inet
$TTL 604800
@ IN SOA ns1.aula.inet. admin.aula.inet. (
2 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL

; Servidores
@ IN NS ns1.aula.inet.
@ IN A 192.168.2.15

; Registros A
ns1 IN A 192.168.2.15
www IN A 192.168.2.15
server IN A 192.168.2.15
srv01 IN A 192.168.2.15

; Registro SRV para LDAP
_ldap._tcp 3600 IN SRV 0 5 389 ldap.aula.inet.

; Registro SRV para Kerberos
_kerberos._udp 3600 IN SRV 0 100 88 kerberos.pti.intra.

; Registro SRV LDAP Global Catalog manual
_ldap._tcp.gc 3600 IN SRV 0 100 3268 ldap.aula.inet.

; Registros SRV do AD
_ldap._tcp.dc._msdcs.aula.inet. IN SRV 0 100 389 srv01.aula.inet.
_ldap._tcp.gc._msdcs.aula.inet. IN SRV 0 100 389 srv01.aula.inet.
_gc._tcp.dc._msdcs.aula.inet. IN SRV 0 100 3268 srv01.aula.inet.

root@SRV01:/etc/bind# cat db._msdcs.aula.inet
$TTL 86400
@ IN SOA ns1.aula.inet. admin.aula.inet. (
2025112701 ; Serial (ano, mês, dia, versão)
3600 ; Refresh
1800 ; Retry
604800 ; Expire
86400 ; Minimum TTL
)
IN NS ns1.aula.inet.

; Registros SRV do AD
_ldap._tcp.dc._msdcs.aula.inet. IN SRV 0 100 389 srv01.aula.inet.
_ldap._tcp.gc._msdcs.aula.inet. IN SRV 0 100 389 srv01.aula.inet.
_gc._tcp.dc._msdcs.aula.inet. IN SRV 0 100 3268 srv01.aula.inet.

root@SRV01:/# cat /etc/resolv.conf
#nameserver 8.8.8.8
search aula.inet
nameserver 192.168.2.15
nameserver 192.168.2.1
root@SRV01:/#

root@SRV01:/# cat /etc/hosts
127.0.0.1 localhost
127.0.1.1 vitor-HP-240-G6-Notebook-PC

# The following lines are desirable for IPv6 capable hosts
::1 ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
192.168.2.15 srv01.aula.inet srv01

root@SRV01:/# hostname
SRV01

Forte abraço e muito obrigado aos que contribuiram.

alexabolada
(usa Debian)

Enviado em 04/12/2025 - 20:35h

Olá.
Sou a Alexa Bolada do Viva o Linux.

Bom trabalho.
O DNS era mesmo a causa mais comum.

Achei alguns pontos a corrigir nos seus arquivos.

Erro óbvio: SRV apontando para outro domínio.
O registro _kerberos._udp aponta para kerberos.pti.intra.
Esse host não existe no seu zonefile.
Corrija para um alvo que tenha registro A (por exemplo srv01.aula.inet).

Outro ponto: alguns SRV apontam para nomes como ldap.aula.inet.
Não há um registro A para ldap.aula.inet no seu zonefile.
Os alvos dos SRV devem ter registro A correspondente.

Evite misturar domínios nos arquivos.
Você tem entradas com example.local e aula.inet.
Padronize para aula.inet.

Verifique a zona reversa.
O PTR de 192.168.2.15 deve apontar para srv01.aula.inet.
Confirme o serial após mudanças.

Exemplo de correção (trecho) para db.aula.inet.
Use nomes já existentes como alvo dos SRV:

[code]
; Registros SRV para LDAP e Kerberos (apontando para srv01)
_ldap._tcp 3600 IN SRV 0 100 389 srv01.aula.inet.
_ldap._tcp.gc 3600 IN SRV 0 100 3268 srv01.aula.inet.
_kerberos._udp 3600 IN SRV 0 100 88 srv01.aula.inet.
_ldap._tcp.dc._msdcs.aula.inet. IN SRV 0 100 389 srv01.aula.inet.
_gc._tcp.dc._msdcs.aula.inet. IN SRV 0 100 3268 srv01.aula.inet.
</code>

Garanta também o A record:

[code]
srv01 IN A 192.168.2.15
</code>

E o PTR na zona reversa (exemplo para 192.168.2.0/24):

[code]
15 IN PTR srv01.aula.inet.
</code]

Depois de ajustar, recarregue o BIND.
Cheque o serial para replicação.

Teste os registros diretamente contra seu DNS:

$ dig @192.168.2.15 _ldap._tcp.dc._msdcs.aula.inet SRV +short

$ dig @192.168.2.15 _kerberos._udp.aula.inet SRV +short

$ dig @192.168.2.15 srv01.aula.inet A +short

$ dig @192.168.2.15 -x 192.168.2.15 +short

Se usar Samba como DC com integração ao BIND, valide com o samba-tool:

# samba-tool dns query localhost aula.inet SRV _ldap._tcp.dc._msdcs.aula.inet --zone=aula.inet

Outros cuidados rápidos:
Deixe nos clientes apenas o DNS do DC como servidor DNS.
DNS secundário público causa resolução errada do AD.

Verifique também hora e firewall.
O Kerberos falha se o clock estiver fora.
O AD precisa das portas corretas liberadas entre cliente e DC.

Se quiser, me envie as saídas desses testes.
Posso revisar e indicar o ajuste final.

Forte abraço.