通过Sophos XG 310无法访问虚拟机域控制器DNS，域加入失败问题求助

先帮你梳理下当前的环境和核心问题：

• 我的环境是ESXi上托管Windows Server 2019虚拟机作为AD域控（IP 10.0.0.5/22），虚拟机本地防火墙已关闭；网络链路为客户端→Sophos XG→Dell S4128F-ON交换机→ESXi→域控。
• 问题：客户端直连交换机时能正常加入域，但走Sophos XG就失败；走XG时DNS能成功查询到SRV记录并定位域控，但无法建立连接。
• 配置细节：域控网关设为ESXi主机IP（10.0.0.10），DNS指向自身；ESXi主机有独立的网关配置。

结合你的描述，给你几个具体的排查方向：

一、优先排查网关/路由冲突问题 #

你提到域控的网关是ESXi主机IP，但ESXi本身有另一个网关，这很可能是核心问题！

• 域控发往跨网段的流量会先发给ESXi（10.0.0.10），但ESXi的网关和域控的网关不一致，会导致回程流量路径混乱——XG收到的回复包来源不符合预期，直接丢包，自然无法建立连接。
• 建议先调整域控的网关为Sophos XG的IP（如果XG在同一网段）；如果必须用ESXi做网关，要确保ESXi的路由表能正确把域控的流量转发到XG，同时XG也有指向域控网段的回程路由。

二、检查Sophos XG的防火墙规则与端口放行 #

AD域加入除了DNS，还依赖大量特定端口的双向流量，你需要确认XG有没有放行客户端网段→域控网段的以下端口：

• LDAP（389/TCP/UDP）、LDAPS（636/TCP）、Kerberos（88/TCP/UDP）、RPC（135/TCP）、SMB（445/TCP）、动态RPC端口（默认49152-65535）
• 注意是双向放行，别只开了客户端的出站流量，域控的回程流量也要允许。
• 另外，XG的IPS（入侵防御）或应用控制规则可能误拦截AD流量，可以临时把IPS调成“告警”模式，或者禁用相关规则测试。

三、排查NAT规则是否异常 #

你自己也提到了NAT的可能性：

• 内部网段之间通常不需要NAT，如果XG误配置了内部流量的NAT规则，会导致域控收到的请求源IP被篡改，无法正常回复客户端。建议检查XG的NAT规则，删除不必要的内部NAT配置。

四、验证交换机与XG的端口/VLAN配置 #

确认Dell交换机和XG之间的端口是否为Trunk模式，有没有正确放行域控和客户端所在的VLAN？虽然DNS能查询到SRV记录说明基本连通，但VLAN标签丢失或端口配置错误也可能导致特定端口流量被阻断，这点不能忽略。

五、用工具定位具体故障点 #

可以在客户端用简单工具快速定位问题：

1. 先ping域控IP（10.0.0.5），如果ping不通，先解决基础连通性问题；
2. 如果ping通，用PowerShell命令测试AD所需端口的连通性：

Test-NetConnection 10.0.0.5 -Port 389
Test-NetConnection 10.0.0.5 -Port 88
Test-NetConnection 10.0.0.5 -Port 445

通过这些命令能快速知道哪个端口被拦截，缩小排查范围。

备注：内容来源于stack exchange，提问作者Arthur Imona