Windows Laptop hat keine Verbindung zur Domäne

[Seno.-]

Hallo zusammen,
ich habe aktuell das Problem, das ich einen Laptop einem Mitarbeiter bereitgestellt habe. Dieser Laptop hat einige Zeit gut funktioniert (knapp 2 Wochen) jetzt fängt er aber an Probleme zu bereiten.
Der Laptop ist ein Dell Latitude 5550 i5 Modell mit 16 GB RAM.
Dieser baut keine Verbindung zu der Domäne auf, obwohl er diese erreichen kann (getestet mit Ping und DNS Abfrage des Gateways). Weiter baut er auch eine Internetverbindung auf und die Problematik besteht trotz des Wechsels auf einen anderen Endpunkt(Switch), somit habe ich mal das Netzwerk als Fehlerquelle ausgeschlossen.
Der Laptop wurde mittels UNA Stick aufgesetzt und die Programme via Chocolaty Skript installiert. --> Habe viel gelesen das dies ein bekanntes Problem aus Images ist. Das Machine Passwort habe ich zurückgesetzt, welches erfolgreich war, hier konnte er komischerweise die Domäne erreichen...
Der Eventlog zeigt einen Fehler des ACPI Zeit gibt, könnte dass die Ursache des Problems sein? Wenn ja, fände ich es komisch, da dies ja ans BIOS gekoppelt ist und wir nicht nur einen von diesen Geräten im Einsatz haben. Aber dies hat schonmal zu solchen Fehlern bei DELL geführt, aber ob dies solche Auswirkungen auf die Verbindung mit der Domäne hat?
Auch ein neues aufnehmen in die Domäne hat nach Wechsel auf einen USB Netzwerk Adapter funktioniert und da ging der Laptop auch wieder für einen Tag.

Aktuell weiß ich nicht mehr wo dran es liegen könnte, vielleicht habt ihr eine Idee?

 

[Phil_81]

Welche Uhrzeit zeigt denn das Windows an?

Ist die Uhrzeit im BIOS korrekt?

 

[Seno.-]

@Phil_81 Uhrzeit in Windows ist korrekt.
Im BIOS müsste ich nachschauen, das habe ich nicht geprüft.

 

[Phil_81]

Wie erkennst du, dass er keine Verbindung zur Domäne aufbaut bzw. was ist genau der Fehler?

 

[Seno.-]

@Phil_81 da der Laptop sich keine Gruppenrichtlinien ziehen kann und hierbei sagt keine Verbindung zum DC.
Da sind auch weitere Fehler, welche sich auf keine Verbindung zum DC zurückführen lassen.
Wenn ich versuche auf die Netzlaufwerke zuzugreifen, wird nach der Anmeldung gefragt.
Wenn ich versuche mit dem Domänen Admin z.b. ein CMD Fenster zu öffnen, bekomme ich "Anmeldung nicht erfolgreich, da keine Verbindung zur Domäne besteht"

 

[sh.]

Ist das Gerät deaktiviert im AD?

Mal einen Re-Join zur Domäne versucht?

 

[Drewkev]

Ist der Client überhaupt noch in der Domäne? (sysdm.cpl)

 

[h00bi]

Was ist denn ein UNA Stick?

Im BIOS müsste ich nachschauen, das habe ich nicht geprüft.

Wenn die Zeit + Zeitzone in Windows stimmt, dann stimmt sie auch im UEFI. Windows11 reported die ja zurück und du wirst hoffentlich kein W10 mehr installieren (wobei W10 das afaik auch macht).

 

[Phil_81]

Würde jetzt auch mal vermuten, dass das Computerkonto gesperrt/deaktiviert/gelöscht ist. Wurde das schonmal geprüft?

Ergänzung (26. März 2025)

Auch ein neues aufnehmen in die Domäne hat nach Wechsel auf einen USB Netzwerk Adapter funktioniert und da ging der Laptop auch wieder für einen Tag.

Sprich das Problem tritt nur mit dem eingebauten Netzwerkadapter auf?

Habt ihr eine NAC-Lösung oder Netzwerksegmentierung im Einsatz?

 

[Seno.-]

Ist das Gerät deaktiviert im AD?

Das Gerät ist im AD aktiviert

Mal einen Re-Join zur Domäne versucht?

Ja habe ich, das Neuaufnehmen des Laptops war nicht einfach, da er selbst hier keine Verbindung zu dem DC aufbauen wollte.

Ist der Client überhaupt noch in der Domäne?

Ja ist er.

Was ist denn ein UNA Stick?

Windows Boot Stick mit Unattend XML. Kann ich nur jedem empfehlen. Ja ist Windows 11

 

[Lawnmower]

Das heisst wenn Du den Client aus dem AD entfernst, dann das Computerobjekt im AD löscht, Client neustartest und mit lokalen Admin anmeldest und anschliessend der Domäne beitreiten willst, gibt es da bereits Probleme? Wie sehen die genau aus bzw wie äussern sich die? Fehlermeldung?

Das mit dem NAC wäre auch noch ein guter Hinweis, wenn der USB Adapter per MAC Whitelistet sind und Clients regulär z.B. per Zertifikat Zutritt erhält, wäre zu prüfen ob so ein Zertifikat überhaupt vorhanden ist - und dies kann er natürlich nur mit dem whitelisteded USB Adapter bekommen.

 

[Seno.-]

Würde jetzt auch mal vermuten, dass das Computerkonto gesperrt/deaktiviert/gelöscht ist. Wurde das schonmal geprüft?

Konto ist nicht gesperrt. Eine Anmeldung an einem Terminal Server funktioniert ohne Probleme.

Sprich das Problem tritt nur mit dem eingebauten Netzwerkadapter auf?

Nein, dies tut er auch bei einem USB Netzwerk Adapter aktuell

Habt ihr eine NAC-Lösung oder Netzwerksegmentierung im Einsatz?

Eine NAC Lösung haben wir nicht im Einsatz. Nur ein DC mit GPOs.
Ja wir machen Netzwerksegmentierung, aber selbst wenn ich den Laptop in unser Server VLAN setze, habe ich das gleiche Problem

Ergänzung (26. März 2025)

Das heisst wenn Du den Client aus dem AD entfernst, dann das Computerobjekt im AD löscht, Client neustartest und mit lokalen Admin anmeldest und anschliessend der Domäne beitreiten willst, gibt es da bereits Probleme? Wie sehen die genau aus bzw wie äussern sich die? Fehlermeldung?

Äußert sich dadurch, dass der Laptop sagt, dass er keine Verbindung zu der Domäne hat und somit nicht in die Domäne aufgenommen werden kann.
Nachstellbar wie wenn man mit keinem Netzwerk verbunden ist.

 

[Lawnmower]

Okay aber gleichzeitig ist ein Ping per DNS Name auf den AD Server möglich?
Habt ihr mehrere AD Server die allenfalls nicht synchron sind oder sowas und der Client meldet sich dann immer bei einem outdated AD?

 

[Phil_81]

Konto ist nicht gesperrt. Eine Anmeldung an einem Terminal Server funktioniert ohne Probleme.

Diese Anmeldung hat mit der Verbindung zu einem Terminal Server nichts zu tun, das geht auch wenn dein Computerkonto gesperrt ist weil in diesem Fall der TS die Authentifizierung macht, nicht dein lokales Gerät.

Wer hat denn das AD aufgesetzt bzw. wer betreut eure Umgebung? Habt ihr da niemanden, der die Umgebung kennt den ihr direkt fragen könnt?

Ergänzung (26. März 2025)

Du schreibst, du hast ne DNS-Abfrage auf das Gateway gemacht... Was hast da genau gemacht?

Wenn dann muss der Domänenname erreichbar sein (und korrekt aufgelöst), nicht das Gateway.

 

[sh.]

Windows neu aufsetzen, aktuelles Image von Microsoft besorgen und los.

 

[Seno.-]

Okay aber gleichzeitig ist ein Ping per DNS Name auf den AD Server möglich?
Habt ihr mehrere AD Server die allenfalls nicht synchron sind oder sowas und der Client meldet sich dann immer bei einem outdated AD?

Es ist nur ein AD Server vorhanden

Diese Anmeldung hat mit der Verbindung zu einem Terminal Server nichts zu tun, das geht auch wenn dein Computerkonto gesperrt ist weil in diesem Fall der TS die Authentifizierung macht, nicht dein lokales Gerät.

Wäre das Benutzerkonto gesperrt, würde er bei der Anmeldung meckern. Habe das Konto trotzdem nochmals AD Seitig entsperrt.

Wer hat denn das AD aufgesetzt bzw. wer betreut eure Umgebung? Habt ihr da niemanden, der die Umgebung kennt den ihr direkt fragen könnt?

Das war ein Dienstleister, da dieses Problem nur bei einer Maschine auftritt und das Problem auch nicht Benutzerkontoabhängig ist, sehe ich es nicht für nötig, diese dazu zu ziehen.

Du schreibst, du hast ne DNS-Abfrage auf das Gateway gemacht... Was hast da genau gemacht?

Von dem betroffenen Rechner ein nslookup. Da unser Gateway auch den DNS stellt, hat dies ohne Probleme funktioniert.

Wenn dann muss der Domänenname erreichbar sein (und korrekt aufgelöst), nicht das Gateway.

Ja ich habe das mit dem DNS nur gemacht, damit ich sehen kann ob er überhaupt eine Verbindung zu dem Gateway hat. Domänennamenauflösung funktioniert. BSP: Wenn ich ping "DC NAME" mache, ping er mir "DC NAME.DOMÄNENNAME"

Windows neu aufsetzen, aktuelles Image von Microsoft besorgen und los.

Genau das will ich nicht. Ich will das Problem lösen und nicht hoffen das es nicht mehr auftaucht

 

[Phil_81]

Ich bin jetzt offen und ehrlich, aber bei dem was bisher geschrieben wurde isses einfacher und schneller, den Dienstleister hinzuzuziehen.

a) er kennt die Umgebung im Detail
b) er weiß was vor Ort zu tun ist um den Fehler einzugrenzen

Ansonsten wird sich das hier noch sehr lange ziehen, bis alle auf einem Nenner sind was auch die Begrifflichkeiten betrifft und fundiert weiterhelfen können.

 

[Lawnmower]

Gut aber bei #10 schreibst Du dass Du den Domänen Beitritt trotzdem hingekriegt hast? Wie?

 

[Seno.-]

@Lawnmower Ich glaube das war mehr glück als alles andere... Ich habe versucht den Rechner neu in die Domäne aufzunehmen über den integrierten Lan Port --> tut nicht
Dann habe ich mit einen USB Netzwerk Adapter genommen, das hat Funktioniert. Somit ist der Laptop erstmal wieder an die Mitarbeiterin gegangen, mit USB Netzwerk Adapter und das hat einen Tag lang funktioniert. Jetzt tut es nicht mehr.

Ergänzung (26. März 2025)

Ich bin jetzt offen und ehrlich, aber bei dem was bisher geschrieben wurde isses einfacher und schneller, den Dienstleister hinzuzuziehen.

Natürlich kennt er die Umgebung aber es hat halt nicht viel mit dem AD zu tun, da das Benutzerkonto bei einem anderen Laptop funktioniert und keine Probleme bereitet.
Weiter ist es ja nur dieser eine Laptop und nicht alle.
Warum sollte ich bei so etwas dann einen Dienstleister einschalten, wenn dieser nicht mal physisch auf das Gerät zugreifen kann.

 

[Phil_81]

Wir haben hier entweder ein Verständnis- oder Kommunikationsproblem.

Das Benutzerkonto ist erstmal bumms, wenn der Rechner sagt er hat keine Verbindung zur Domäne. Weil hier eben das Computerkonto relevant ist. Und da kannst am Benutzerkonto noch soviel machen, das bringt dir nichts.

Aber da du das ja besser weisst und auch den Dienstleister deswegen nicht hinzuziehen willst... Bin ich raus.