Cómo se localizan los controladores de dominio en Windows

Versión original del producto: Windows Server 2019, Windows Server 2016, Windows Server 2012 R2
Número de KB original: 247811

Resumen

Este artículo detalla el proceso de localización de un dominio por su nombre de estilo DNS y su nombre de estilo plano (NetBIOS). El nombre de estilo plano se utiliza por compatibilidad con versiones anteriores. En todos los demás casos, los nombres de estilo DNS se deben utilizar como una cuestión de política. Este artículo también aborda la resolución de problemas del proceso de localización del controlador de dominio.

Más información

Esta secuencia describe cómo el Localizador encuentra un controlador de dominio:

• En el cliente (el equipo que está localizando el controlador de dominio), el Localizador se inicia como una llamada a procedimiento remoto (RPC) al servicio local Netlogon. La llamada a la interfaz de programación de aplicaciones (API) del Localizador DsGetDcName es implementada por el servicio Netlogon.

• El cliente recopila la información necesaria para seleccionar un controlador de dominio y pasa la información al servicio Netlogon mediante la llamada DsGetDcName.

• El servicio Netlogon en el cliente utiliza la información recopilada para buscar un controlador de dominio para el dominio especificado de una de las dos maneras:

  • Para un nombre DNS, Netlogon consulta a DNS utilizando el localizador compatible con IP/DNS–es decir, DsGetDcName llama a la llamada DnsQuery para leer los registros de recursos de servicio (SRV) y los registros «A» de DNS después de anexar el nombre de dominio a la cadena apropiada que especifica los registros SRV.

  • Una estación de trabajo que está iniciando sesión en un dominio basado en Windows consulta el DNS para los registros SRV de la forma general:

    _service.DnsDomainName

    Los servidores de Active Directory ofrecen el servicio Lightweight Directory Access Protocol (LDAP) a través del protocolo TCP. Por lo tanto, los clientes encuentran un servidor LDAP consultando al DNS por un registro de la forma:

    _ldap._tcp.DnsDomainName

Para un nombre NetBIOS, Netlogon realiza el descubrimiento del controlador de dominio utilizando el localizador compatible con Microsoft Windows NT versión 4.0 (es decir, utilizando el mecanismo específico de transporte (por ejemplo, WINS).

En Windows NT 4.0 y anteriores, el «descubrimiento» es un proceso para localizar un controlador de dominio para la autenticación en el dominio primario o en un dominio de confianza.

• El servicio Netlogon envía un datagrama a los ordenadores que registraron el nombre. Para los nombres de dominio NetBIOS, el datagrama se implementa como un mensaje mailslot. Para los nombres de dominio DNS, el datagrama se implementa como una búsqueda de LDAP User Datagram Protocol (UDP). (UDP es el protocolo de transporte de datagramas sin conexión que forma parte del conjunto de protocolos TCP/IP. TCP es un protocolo de transporte orientado a la conexión.)

• Cada controlador de dominio disponible responde al datagrama para indicar que está actualmente operativo y devuelve la información a DsGetDcName.

UDP permite que un programa en un ordenador envíe un datagrama a un programa en otro ordenador. UDP incluye un número de puerto de protocolo, que permite al remitente distinguir entre varios destinos (programas) en el ordenador remoto.

• Cada controlador de dominio disponible responde al datagrama para indicar que está actualmente operativo y devuelve la información a DsGetDcName.
• El servicio Netlogon almacena en caché la información del controlador de dominio para que las solicitudes posteriores no tengan que repetir el proceso de descubrimiento. El almacenamiento en caché de esta información fomenta el uso consistente del mismo controlador de dominio y una visión consistente de Active Directory.

Cuando un cliente se conecta o se une a la red, debe ser capaz de localizar un controlador de dominio. El cliente envía una consulta DNS Lookup a DNS para encontrar controladores de dominio, preferiblemente en la propia subred del cliente. Por lo tanto, los clientes encuentran un controlador de dominio consultando a DNS un registro de la forma:

_LDAP._TCP.dc._msdcs.domainname

Después de que el cliente localiza un controlador de dominio, establece la comunicación utilizando LDAP para obtener acceso a Active Directory. Como parte de esa negociación, el controlador de dominio identifica en qué sitio se encuentra el cliente basándose en la subred IP de dicho cliente. Si el cliente se está comunicando con un controlador de dominio que no está en el sitio más cercano (más óptimo), el controlador de dominio devuelve el nombre del sitio del cliente. Si el cliente ya ha intentado encontrar controladores de dominio en ese sitio (por ejemplo, cuando el cliente envía una consulta DNS Lookup a DNS para encontrar controladores de dominio en la subred del cliente), el cliente utiliza el controlador de dominio que no es óptimo. De lo contrario, el cliente vuelve a realizar una búsqueda DNS específica del sitio con el nuevo nombre de sitio óptimo. El controlador de dominio utiliza parte de la información del servicio de directorio para identificar sitios y subredes.

Después de que el cliente localiza un controlador de dominio, la entrada del controlador de dominio se almacena en la memoria caché. Si el controlador de dominio no está en el sitio óptimo, el cliente vacía la caché después de quince minutos y descarta la entrada de la caché. A continuación, intenta encontrar un controlador de dominio óptimo en el mismo sitio que el cliente.

Después de que el cliente haya establecido una ruta de comunicación con el controlador de dominio, puede establecer las credenciales de inicio de sesión y autenticación y, si es necesario para los equipos basados en Windows, configurar un canal seguro. A continuación, el cliente está preparado para realizar consultas normales y buscar información en el directorio.

El cliente establece una conexión LDAP con un controlador de dominio para iniciar la sesión. El proceso de inicio de sesión utiliza el Administrador de cuentas de seguridad. Dado que la ruta de comunicación utiliza la interfaz LDAP y el cliente está autenticado por un controlador de dominio, la cuenta del cliente se verifica y pasa a través del Administrador de cuentas de seguridad al agente de servicio de directorio, luego a la capa de base de datos y, finalmente, a la base de datos en el motor de almacenamiento extensible (ESE).

Solución de problemas del proceso de localización de dominios

Para solucionar los problemas del proceso de localización de dominios:

1. Compruebe el Visor de eventos tanto en el cliente como en el servidor. Los registros de eventos pueden contener mensajes de error que indican que hay un problema. Para ver el Visor de sucesos, haga clic en Inicio, apunte a Programas, apunte a Herramientas administrativas y haga clic en Visor de sucesos. Compruebe el registro del sistema tanto en el cliente como en el servidor. Además, compruebe los registros del Servicio de directorio en el servidor y los registros de DNS en el servidor DNS.

2. Compruebe la configuración de IP utilizando el comando ipconfig /all en un símbolo del sistema.

3. Utilice la utilidad Ping para verificar la conectividad de la red y la resolución de nombres. Haga ping tanto a la dirección IP como al nombre del servidor. También puede hacer ping al nombre de dominio.

Utilice la herramienta Netdiag para determinar si los componentes de red funcionan correctamente. Para enviar la salida detallada a un archivo de texto, utilice el siguiente comando:

netdiag /v >test.txt
Revise el archivo de registro, buscando problemas, e investigue cualquier componente implicado. Este archivo también contiene otros detalles de configuración de la red.

4. Para solucionar problemas menores, utilice la herramienta Netdiag con la siguiente sintaxis: netdiag /fix.

5. Utilice el comando nltest /dsgetdc:domainname para verificar que se puede localizar un controlador de dominio para un dominio específico.

Utilice la herramienta NSLookup para verificar que las entradas DNS están correctamente registradas en DNS. Verifique que los registros de host del servidor y los registros SRV GUID pueden resolverse.

Por ejemplo, para verificar el registro de registros, utilice los siguientes comandos:
nslookup servername. childofrootdomain. rootdomain.com
nslookup guid._msdcs. rootdomain.com

6. Si alguno de estos comandos no tiene éxito, utilice uno de los siguientes métodos para volver a registrar los registros en DNS:

   • Para forzar el registro de registros de host, escriba ipconfig /registerdns.
   • Para forzar el registro del servicio del controlador de dominio, detenga e inicie el servicio Netlogon.
   • Para detectar problemas en el controlador de dominio, ejecute la utilidad DCdiag desde un símbolo del sistema. La utilidad ejecuta una serie de pruebas para verificar que un controlador de dominio funciona correctamente. Utilice este comando para enviar los resultados a un archivo de texto: dcdiag /v >dcdiag.txt

   • Utilice la herramienta Ldp.exe para conectarse y enlazar con el controlador de dominio para verificar la conectividad LDAP adecuada.

   • Si sospecha que un controlador de dominio concreto tiene problemas, puede ser útil activar el registro de depuración de Netlogon. Utilice la utilidad NLTest escribiendo este comando: nltest /dbflag:0x2000ffff. A continuación, la información se registra en la carpeta Debug del archivo Netlogon.log.

   • Si todavía no ha aislado el problema, utilice Network Monitor para supervisar el tráfico de red entre el cliente y el controlador de dominio.

   Si no ha aislado el problema, utilice Network Monitor para supervisar el tráfico de red entre el cliente y el controlador de dominio.