선호 도메인 컨트롤러 변경 후 공유 폴더 액세스 문제

Question

선호 도메인 컨트롤러 변경 후 공유 폴더 액세스 문제

Jung Ji Soo 80

서버를 재부팅한 이후 기존에 정상적으로 사용하던 Microsoft Windows Server 공유 폴더에 더 이상 액세스할 수 없습니다. 확인해 보니 서버가 연결하는 기본 Active Directory Domain Controller가 변경된 것으로 보입니다.

서버는 여전히 도메인에 정상 가입되어 있고 네트워크 연결도 문제없습니다. 하지만 공유 폴더 접근 시 인증 또는 권한 오류가 발생합니다. Secure Channel, Kerberos 인증, 현재 사용 중인 도메인 컨트롤러 상태를 확인하는 방법이 있을까요?

DNS와 그룹 정책은 이미 점검했지만 문제가 계속되고 있습니다 !!

댓글 0개

질문 작성자가 수락한 답변

0 추가 답변

답변

Answer 1

안녕하세요.

서버 재부팅 후 기본 도메인 컨트롤러(DC)가 변경되었다고 해서 반드시 문제가 발생한 것은 아닙니다. 다만 변경된 DC에서 컴퓨터 계정 인증이나 Kerberos 티켓 발급에 문제가 있거나, 공유 폴더 접근 권한을 제공하는 그룹 정보가 일치하지 않으면 인증 오류가 발생할 수 있습니다. DNS와 그룹 정책을 이미 확인했다면 Secure Channel, 실제 사용 중인 DC, Kerberos 티켓 및 SMB 인증 상태를 우선 확인하는 것이 좋습니다.

관리자 권한 PowerShell 또는 명령 프롬프트에서 다음 명령으로 현재 DC와 도메인 보안 채널을 확인하십시오.

nltest /dsgetdc:yourdomain.com
nltest /sc_query:yourdomain.com
Test-ComputerSecureChannel -Verbose

yourdomain.com은 실제 AD 도메인 DNS 이름으로 바꾸십시오. nltest /dsgetdc는 DC 검색 결과를, /sc_query는 보안 채널 상태를 확인합니다. Test-ComputerSecureChannel이 False를 반환하면 컴퓨터 계정과 도메인 간 보안 채널에 문제가 있을 가능성이 있습니다. 단, 이 명령만으로 공유 폴더 접근 실패의 원인이 확정되는 것은 아닙니다.

현재 사용 중인 도메인 컨트롤러와 Kerberos 티켓을 확인하려면 다음 명령도 실행하십시오.

echo %LOGONSERVER%
nltest /dsgetdc:yourdomain.com /force /kdc
klist

%LOGONSERVER%는 현재 로그온 세션의 DC를 보여주지만 반드시 SMB 인증에 사용된 DC와 같지는 않습니다. klist를 사용해 Kerberos 티켓을 확인하고, 공유 폴더 접근 시 cifs/fileserver.yourdomain.com 티켓이 있는지 살펴보십시오. 서버 이름으로 FQDN을 사용해 접근하는 것도 중요합니다. IP 주소나 별칭을 사용하면 Kerberos 대신 NTLM이 사용되거나 SPN 문제로 인증이 실패할 수 있습니다.

보안 채널 테스트가 실패하면 네트워크와 DC 상태를 확인한 뒤, 필요할 경우에만 관리자 권한으로 Test-ComputerSecureChannel -Repair -Credential (Get-Credential)을 실행하십시오. DC 간 복제 문제가 의심되면 AD 관리자와 함께 복제 상태도 점검해야 합니다. 공유 폴더 권한 오류가 계속되면 서버의 Security 이벤트 로그와 SMB 서버 로그에서 실패 원인을 확인하십시오. 아직 원인이 확정되지 않았으므로 컴퓨터를 도메인에서 탈퇴했다가 다시 가입시키거나 Kerberos 티켓을 무조건 초기화하는 작업은 우선 피하십시오.

먼저 nltest /sc_query:yourdomain.com과 Test-ComputerSecureChannel -Verbose의 결과, 그리고 공유 폴더 접근 시 표시되는 정확한 오류 메시지를 알려주시면 원인을 더 구체적으로 좁힐 수 있습니다.

Domic Vo.