У меня 2 домена, в каждом по 2 контроллера домена:
Оба домена находятся в одном лесу и имеют двустороннюю настройку доверия. Мы переходим на ad.company.com.au
в настоящее время, однако, возникают некоторые проблемы с системами, которым необходимо запрашивать LDAP.
При выполнении поиска LDAP на любом контроллере домена в ad.company.com.au
мы получаем направление к company.com.au
который НЕ находится под контролем AD:
$ ldapsearch -x -h 172.xx.xx.11 -b DC=company,DC=com,DC=au -D "my.username@ad.company.com.au" -W
Enter LDAP Password:
# extended LDIF
#
# LDAPv3
# base <DC=company,DC=com,DC=au> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
# with manageDSAit control
#
# search result
search: 2
result: 10 Referral
text: 0000202B: RefErr: DSID-031007EF, data 0, 1 access points
ref 1: 'company.
com.au'
ref: ldap://company.com.au/DC=company,DC=com,DC=au
# numResponses: 1
Обратите внимание на ссылки на company.com.au
который AD НЕ контролирует - домен ad.company.com.au
и это делегировано company.com.au
серверов имен к 2 DC.
Запросы к глобальному каталогу на том же сервере дают ожидаемые результаты.
Так почему же контроллер домена для домена не знает о домене в его LDAP, а GC знает?
Потому что вы указываете company.com.au в качестве базы поиска. Если вы хотите запросить локальный раздел вашего домена, не получая реферала, используйте ad.company.com.au в качестве базы поиска.