DSM 7.1 RS815 kein Domainbeitritt möglich - Windows Server 2025

[Fainsy]

Moin, ich habe eine Synology RS815 mit DSM 7.1.1-42962 Update 8. Beim Versuch unserer Windows Domain beizutreten bekomme ich die Meldung das der Benutzername oder Passwort falsch sein, das ist aber definitiv nicht der Fall.

Anbei mal ein Screenshot:


Als Domain ist ein Windows Server 2025 im Einsatz. Hat jemand eine Idee woran das liegen könnte?

 

[maxblank]

Servus, welche Version der Domain-Funktionsebene hast du?

 

[Fainsy]

Die Funktionseben ist 2025

 

[maxblank]

Kannst du von NAS aus die Domäne mit SSH per DNS-Abfrage korrekt abfragen?

Beim Joinen hast du den kompletten Domänen-Namen eingegeben und dem Admin-Benutzer auch die Domäne voran gestellt?

Uhrzeit ist synchronisiert?

 

[Fainsy]

Kannst du von NAS aus die Domäne mit SSH per DNS-Abfrage korrekt abfragen?

Ja, wenn ich mich mit SSH auf die NAS verbinde und ein NSLOOKUP auf die Domain ausführe wird diese korrekt aufgelöst. Auch kann ich diese korrekt anpingen.

Beim Joinen hast du den kompletten Domänen-Namen eingegeben und dem Admin-Benutzer auch die Domäne voran gestellt?

Den FQDN haben ich vollständig angeben und dem Admin-Benutzer auch die Domain vorangestellt (FQDN\administrator).

Uhrzeit ist synchronisiert?

Die Zeit ist Synchron, als NTP-Server ist auf der NAS der Domain-Server angeben und die Zeitsynchronisierung läuft ohne Probleme.

 

[heavy]

DSM 7 kann nicht mit Win 25. Entweder DSM 6 mit Win 25 oder DSM 7 mit Win 19 eventuell noch win 22. Ich habe eine Woche lang probiert DSM7 in Win 2025 einzubinden und bin dann auf ein altes NAS. Mit DSM 6 umgestiegen.

 

[Fainsy]

Liegt es an der Funktionseben oder an Win 25 selber?

 

[heavy]

Kann ich dir nicht sagen, nur dass man auch das erste Update bei Win 25 nicht einspielen darf denn sonst geht Kerberos nicht mehr. Wie geschrieben geht DSM 6 mit allen Server Versionen die ich getestet hatte (16,19, 25) DSM 7 mit 19 aber eben nicht mit 25. Bin an der selben Stelle hängen geblieben. "Benutzername/Passwort falsch" leider konnten wir nicht rausbekommen wo der Handshake fehlschlägt. Ich brauchte es nur für eine Vorstellung. Wenn du es produktiv brauchst wäre das Eröffnen eines Tickets nicht verkehrt.

 

[maxblank]

Das war von beginn an meine Vermutung…

 

[Fainsy]

Danke für die Info, ich werde dann mal ein Ticket eröffnen.

 

[Fainsy]

Hier einmal die Antwort von Synology:

vielen Dank, dass Sie den Synology Support kontaktiert und das Problem gemeldet haben, das beim Beitritt zum neuesten Windows Server 2025 auftritt.

Wir haben mehrere Fälle zu diesem Symptom festgestellt, das durch Microsofts Entscheidung verursacht wurde, die Kerberos-Ablaufzeit bis zum Jahr 2100 zu verlängern. Unsere Samba-Implementierung verwendet jedoch Kerberos Heimdal, das Daten über 2038 nicht verarbeiten kann.

Infolgedessen können Benutzer ihre NAS nicht mit Windows Server 2025 verbinden.

• https://techcommunity.microsoft.com...s/server-2025-domain-join-error-asn-1/4351355
• https://github.com/heimdal/heimdal/issues/1011

Hinweis: Dieses Problem ist nicht spezifisch für Synology NAS; es betrifft auch andere Linux-basierte Geräte, wie z.B. Cisco-Firewalls.



Derzeit gibt es keine effektive Möglichkeit, dieses Problem zu lösen. Wir haben jedoch festgestellt, dass einige Kunden angaben, dass das Deaktivieren der Option "Kennwort läuft niemals ab" auf dem Domänencontroller (DC) es ihnen ermöglichte, die NAS erfolgreich mit der Domäne zu verbinden. Wir empfehlen Ihnen, diese Option auf dem DC zu deaktivieren und dann erneut zu versuchen, die NAS mit dem DC zu verbinden, um zu sehen, ob das Problem behoben ist.

Wenn das Problem weiterhin besteht, empfehlen wir die Verwendung einer anderen Version des Windows AD Servers zur Verwaltung.

Wir danken Ihnen für Ihr Verständnis und Ihre Kooperation. Wenn Sie Fragen haben, zögern Sie bitte nicht, uns zu kontaktieren.

Tatsächlich konnte ich erfolgreich der Domain beitreten nachdem ich beim Benutzer "Kennwort läuft nie ab" deaktiviert habe.

 

[heavy]

LOL warum kommt dann DSM 6 mit Win25 klar? Das riecht fast nach einer faulen Ausrede.