同子网两台Windows 2012执行nltest /dclist结果不一致问题咨询

问题背景 #

两台处于FACTORY域同一子网的Windows 2012服务器，遇到来自OFFICE域的用户使用第三方应用时出现间歇性身份验证异常问题，使用nltest命令排查时发现异常现象：

第一台服务器执行nltest /dclist:OFFICE输出 #

nltest /dclist:OFFICE
Get list of DCs in domain 'OFFICE' from '\\DC01'.
You don't have access to DsBind to OFFICE (\\DC01) (Trying NetServerEnum).
I_NetGetDCList failed: Status = 6118 0x17e6 ERROR_NO_BROWSER_SERVERS_FOUND 

第二台服务器执行相同命令输出 #

nltest /dclist:OFFICE
Get list of DCs in domain 'OFFICE' from '\\DC02'.
You don't have access to DsBind to OFFICE (\\DC02) (Trying NetServerEnum).
List of DCs in Domain OFFICE
    \\DC03 (PDC)
The command completed successfully

两台服务器子网、网络配置一致，无WINS配置，Computer Browser服务均已禁用。

疑问解答 #

1. 为什么nltest会分别调用DC01、DC02两个不同域控制器拉取OFFICE域DC列表？ #

• 域成员服务器默认通过DC定位器（DC Locator）机制选择本地FACTORY域的可用DC发起跨域查询请求，DC定位器的选择逻辑基于DNS SRV记录优先级、权重、站点亲和性以及客户端本地缓存的DC列表，两台服务器缓存的可用FACTORY域DC不一致、或者两次查询时DNS返回的SRV记录顺序不同，都会导致它们选择不同的DC作为代理查询OFFICE域的DC列表。
• 跨域信任场景下，本地域DC负责转发跨域查询请求到信任域的DC，输出中显示的DC01、DC02实际是两台服务器各自选择的本地FACTORY域DC，并非OFFICE域的DC。

2. 为什么第二台服务器可正常获取列表，第一台返回ERROR_NO_BROWSER_SERVERS_FOUND错误？ #

• 输出中首先出现的DsBind失败属于正常降级提示：本地FACTORY域的DC没有权限直接绑定OFFICE域的LDAP服务，因此nltest会降级使用NetServerEnum广播方式查询域控制器列表。
• 第一台服务器返回错误的核心原因是：它选中的本地DC01与OFFICE域之间网络连通存在异常，或者DC01没有缓存OFFICE域的浏览器列表，且DC01到OFFICE域的UDP 137/138、TCP 139端口连通性被阻断，无法完成NetBIOS广播查询。
• 第二台服务器选中的DC02与OFFICE域之间连通性正常，DC02可以通过NetBIOS查询拿到OFFICE域的DC列表再返回给第二台服务器，因此命令执行成功。
• 你提到的间歇性身份验证异常，本质就是部分本地FACTORY域DC和OFFICE域的连通性不稳定：当应用服务器选中连通性异常的本地DC做跨域认证时，就会触发认证失败；第二台服务器的DC定位器缓存的都是可用本地DC，因此没有出现故障。

内容的提问来源于stack exchange，提问作者Kawaii-Hachii