Analysis "The trust relationship between this domain and the primary domain failed"

"The trust relationship between this domain and the primary domain failed"

"Bu iş istasyonu ile birinci etki alanı arasındaki güven ilişkisi başarısız"



Bu problemle ilgili 3 adet yazımız bulunmaktadır.

1- Problemin kaynağı ve çözüm yöntemleri: http://siberblog.org/index.php/the-trust-relationship-between-this-domain-and-the-primary-domain-failed/ yazımızı inceleyin.

2- DC üzerinde problemli makinelerin tespiti: (Bu yazı)

3- Computer Accountlar için Password değişim politikasının iptali için: http://siberblog.org/index.php/active-directory-machine-account-password-changes-policy/ yazımızı inceleyin.

[adsenseyu2]

Active Directory'de aşağıdaki 2 satırlık powershell scriptini çalıştırarak tüm problemli makineleri tespit edebilirsiniz.

1	Import-Module ActiveDirectory
2	Get-ADComputer -LDAPFilter "(badPasswordTime>=1)" -Properties * | Where {$_.LastBadPasswordAttempt -gt ($_.PasswordLastSet)+300000000} | FT Name, Description, badPwdCount, LastLogonDate, PasswordLastSet, LastBadPasswordAttempt

TrustcheckUp2.ps1 scriptini buradan indirebilirsiniz. Burada yapılan işlemin ayrıntısını görmek için Metodoloji1 başlığını inceleyebilirsiniz.

 

ANALİZ İŞLEMLERİ:

DC üzerinde problemli makinelerin tespiti:

Problemin temel kaynağı olan (computer account password) makine hesabı şifresi ile problemli makinede kayıtlı şifrenin eşleşmemesidir. Aktif dizin ortamında "The trust relationship between this domain and the primary domain failed" hatası ile karşı karşıya olan muhtemel problemli makinelerin tespiti için farklı metodolojiler geliştirilebilir.

Aktif dizin’de makine hesabı (computer account) şifresi varsayılan olarak 30 günde bir değiştirilir. Aynı kullanıcı hesaplarında olduğu logon esnasında hesabın bu 30 gün süreyi doldurup doldurmadığı kontrol edilir. Kullanıcılar için şifre değiştirme ekranı gelirken makine hesapları şifresi netlogon servisi tarafından otomatik olarak güncellenir. 30 gün süresi dolan ve aktif olamayan hesaplar, aktif olduğunda güncellenir. Bu süre için bir sınır yoktur.(Etki alanı sunucusunun ve test makinesinin saatlerini el ile 3 yıl ileri alıp kontrol ettim ve herhangi bir sorun ile karşılaşmadım.)



NOT : Best Practies olarak sanal sistemler arasında makine hesap şifre değiştirme işlemi devre dışı bırakılmalıdır. Makine hesabı şifre değiştirme iptali için http://siberblog.org/index.php/active-directory-machine-account-password-changes-policy/ burayı inceleyin.

Herhangi bir problem sonucu ekti alanında veya makinede snapshot, image vb. geri dönme işlemi yapılmış ise buraya dikkat etmek gerekir. (DC'nin snapshottan dönülmesi büyük problemler oluşturabilir.) Etki alanında makine hesabının son şifre değişim zamanını (pwdLastSet) kontrol edelim. Bu tarih yedek alma tarihinden daha eski ise şifreler eşleşmeyecektir.



NOT : Makine hesaplarının şifre değişimlerini eventlog'dan görmek için aktif dizinde Event Viewer üzerinden Event ID 4742 olay kaydını inceleyebilirsiniz. (Audit ayarlarında Account Management altında Computer Account Management etkin ise). Örnek 4742 olay kaydı;



 

EventLog kayıtları: 

Bu probleme içim DC'ye 4771 olay kaydı ve problemli makineye de 4625 olay kaydı düşmektedir. Ayrı ayrı ele alalım:

1- DC Eventlog Kaydı: Bu hata durumunda aktif dizin eventlog'a Event ID 4771 olay kaydı düşmektedir (Audit ayarlarında Account Logon Kerberos Authentication Service etkin ise).

Event ID 4771: Etki alanı üyesi makineler belirli aralıklarla Kerberos servisi tarafından DC'ye (gpupdate) bağlanıp politika güncellemesi yaparlar. Authentication hatasında  Event ID 4771 olay kaydı düşer. Hata ayrıntısında belirtilen Failure Code: 0x18 hata kodu Usually means bad password hatalı şifreyi belirtmektedir.



NOT: Event ID 4769: Etki alanı üyesi problemli makineye herhangi bir etki alanı üyesi bağlanmak istediğinde Event ID 4769 olay kaydı düşer. Bu olay kaydında sisyon kullanıcısı CLIENT_01 makinesi üzerinden başarılı olarak Failure Code:0x0 kerberos ticket TGT aldığı yalnız logon olmak istediği makine TGT'yi alamadığı için logon işlemi iptal edilir.



 

Aktif dizinde Event Viewer kullanarak hatalı olay kayıtlarını filtreleyerek listeleyelim.

- Event Viewer başlatın.

- Windows Log altından Security'e sağ tıklayın ve Filter Current Log... seçin.



- XML sekmesine geçin

- Edit query manually kutucuğunu işaretleyin.



- XML query'i isteğimize göre düzenleyeceğiz. Bize lazım olan olay kaydı 4771'dir. Aynı zamanda 4771 olay kayıtları içinde hatalı şifre 0x18 durumundaki kayıtlar gerekmektedir. Hatalı şifre denildiğinde kullanıcı hesaplarının da hatalı şifreleri geleceği için Servis adını da ekleyelim.

XML sorgumuz aşağıdaki gibidir. Değiştirmeniz gereken yer SIBERBLOG.ORG alanıdır. Yani sorguyu çalıştıracağınız domainin adını girmelisiniz.

XML Source Code1:

*[System[(EventID=4771)] and

EventData[Data[@Name='Status'] and (Data='0x18')] and

EventData[Data[@Name='ServiceName']='krbtgt/SIBERBLOG.ORG']

]

- Sorguyu yazıp OK butonuna tıkladığınız zaman aşağıdaki gibi bir ekranla karşılaşacaksınız. 1.036.576 adet olay kaydından filtremize uygun 18 adet olay kaydı bulunmuş.

NOT : Kullanıcı hesaplarına ait hatalı şifre giriş olay kayıtları da filtrelenebilmektedir.



Ayrıca belirli bir veya daha fazla makine adı girerek sorgulamak isterseniz:

Sorgulayacağınız makine adlarını kırmızı olarak belirtilen PC01 yerlere yazabilirsiniz. İsteğinize göre makine sayısını artırabilir veya azaltabilirsiniz.

XML Source Code2:

*[System[(EventID=4771)] and

EventData[Data[@Name='Status'] and (Data='0x18')] and

EventData[Data[@Name='TargetUserName'] and (

Data='PC01$' or

Data='PC02$' or

Data='PC03$'

)]]

Xml query yazmak için link:

http://en.wikipedia.org/wiki/Event_Viewer

http://blogs.technet.com/b/askds/archive/2011/09/26/advanced-xml-filtering-in-the-windows-event-viewer.aspx

http://social.technet.microsoft.com/Forums/en-US/winserverpowershell/thread/bd136cf0-fb9e-48a1-ae2f-3cd4290ab973

 

 2- Problemli makineye ait yerel EventLog kaydı: 

Problemli makinenin eventlog kayıtlarına Event ID 4625 olay kaydı düşmektedir. Bu olay kaydı kullanıcının logon olamaması değil makinenin logon olamama kaydıdır. 4625 olay kaydı incelendiğinde Failure Information: altında Status: 0xc000018d görülmektedir. Bu 0xc000018d hata durumu kesin olarak problemimize işaret etmektedir. Bu çözüm SIEM (Security Information and Event Management) ürünleri ile veya merkezi log alma yazılımları ile kullanılabilir.



 

 

Aktif Dizin'de problemli makinelerin bulmak için diğer metodolojilerimiz:

Aktif dizin'de ilgili eventlog kayıtları aktif olamayabilir. Veya kayıtların aktarıldığı Syslog'dan eventlog verilerinin çekilip analiz edilmesi mümkün olmayabilir. Bu gibi durumlar için:

Metodoloji1 : 

Bir makine hesabında badPasswordTime alanı normal şartlar altında (never) olmalıdır. Bu alan (never) değil ise ve son şifre değişim zamanından pwdLastSet büyük ise problemli demektir.



Powershell script ile etki alanı makine hesaplarında son yanlış şifre badPasswordTime alanı ve son şifre değiştirme zamanı pwdLastSet 'i karşılaştıralım.

Script Code1 : "activedirectory" modülü yüklenerek Get-ADComputer komutu ile.

1	Import-Module ActiveDirectory
2	Get-ADComputer -LDAPFilter "(badPasswordTime>=1)" -Properties * | Where {$_.LastBadPasswordAttempt -gt $_.PasswordLastSet} | FT Name, Description, badPwdCount, LastLogonDate, PasswordLastSet, LastBadPasswordAttempt

TrustCheckUp1.ps1 scriptini buradan indirebilirsiniz.

NOT :

Script Code2 : Bazı durumlarda şifre değişim zamanının güncellenmesi işlemi, sunucunun iş yüküne göre 30 saniye kadar gecikme gösterebilmektedir. Bu durumda son şifre değişim zamanı 30 saniye kadar ileri kayabilmektedir. Bu durumu çözmek için son şifre değişim zamanına 30 saniye eklemek gerekebilir. "($_.PasswordLastSet)+300000000"

"activedirectory" modülü yüklenerek Get-ADComputer komutu ile.

1	Import-Module ActiveDirectory
2	Get-ADComputer -LDAPFilter "(badPasswordTime>=1)" -Properties * | Where {$_.LastBadPasswordAttempt -gt ($_.PasswordLastSet)+300000000} | FT Name, Description, badPwdCount, LastLogonDate, PasswordLastSet, LastBadPasswordAttempt

TrustcheckUp2.ps1 scriptini buradan indirebilirsiniz.

 

Metodoloji2 : 

Aktif dizin'de kullanıcı hesabı (user account) ile makine hesabını (computer account) karşılaştıralım ve yorumlayalım. Bir kullanıcının şifresini yanlış girmesi doğal bir olaydır çünkü insan faktörü vardır. Fakat makinenin şifresinin yanlış girilmesi olağan dışı bir olaydır.  Normal şartlar altında makine hesabının badPasswordTime (en son yanlış girilmiş şifre zamanı) alanının (never) ve badPwdCount (en son doğru şifre girilmesinden bu yana girilen yanlış şifre sayısı) alanının da "0" olması beklenir. (Yalnız problem olsa da bu değer bazen "0" olmayabiliyor.)



NOT : "Attribute Editor" sekmesinin görülebilmesi için "Active Directory Users and Computers" 'da "View" menüsünden "Advanced Features" seçeneğinin işaretli olması gerekmektedir.

Makine hesabının "badPasswordTime" (en son yanlış girilmiş şifre zamanı) alanının ve "badPwdCount" (en son doğru şifre girilmesinden bu yana girilen yanlış şifre sayısı) alanının "0" 'dan farklı olması problemin varlığına işarettir.



 

Çözüm1 :

a) Problemsiz bir etki alanı kayıtlarına Powershell script ile bakalım. "badPwdCount" alanı "0" sıfır olması sistemde bir anormallik olmadığının göstergesidir.

Script Code1 : "activedirectory" modülü yüklenerek Get-ADComputer komutu ile.

1	Import-Module activedirectory
2	Get-ADComputer -Filter * -Properties Name, Description, badPwdCount, LastLogonDate, PasswordLastSet | FT Name, Description, badPwdCount, LastLogonDate, PasswordLastSet

Script Code2 : DsQuery komutu ile.

1	DsQuery * -filter "(&(objectCategory=Computer)(objectClass=Person)(sAMAccountName=*))" -attr Name dNSHostName Description badPwdCount

 

b) Problemli bir etki alanı kayıtlarına Powershell script ile bakalım. Scriptimizde  "badPwdCount" alanı "1" ve daha büyük olanları filtreleyerek isteğimiz sonuca ulaşabiliriz.

Script Code1 : "activedirectory" modülü yüklenerek Get-ADComputer komutu ile.

1	Import-Module activedirectory
2	Get-ADComputer -LDAPFilter "(badPwdCount>=1)" -Properties Name, Description, badPwdCount, LastLogonDate, PasswordLastSet | FT Name, Description, badPwdCount, LastLogonDate, PasswordLastSet

Script Code2 : DsQuery komutu ile.

1	DsQuery * -filter "(&(objectCategory=Computer)(objectClass=Person)(sAMAccountName=*)(badPwdCount>=1))" -attr Name dNSHostName Description badPwdCount

 

Download Script1: TrustCheckUp1.ps1 scriptini buradan indirebilirsiniz.

Download Script2: TrustcheckUp2.ps1 scriptini buradan indirebilirsiniz.

 

Referans:

http://siberblog.org/index.php/the-trust-relationship-between-this-domain-and-the-primary-domain-failed/