[微軟ADDS] Win XP 無法加入 Windows Server 2019 AD 網域問題

[Lab 筆記]

Lab: Win XP Join Windows Server 2019 AD Domain Fail. 

[Lab 環境]

DC OS: Windows Server 2019 Forest / Domain Function Level: windows server 2008 

Client OS: Windows XP SP3 ( 無額外 Windows Update )

 

預設狀況下，Win XP 無法加入 Windows Server 2019 AD 網域。

主要原因為 smb v1 支援 與  legacy Kerberos encryption 

 

故 Windows Server 2019 需調整 2 項設定

1. Windows Server 2019 安裝 SMBv1 ( Client and Server 都有安裝 ) 

可透過 Powrshell Get-SmbServerConfiguration 檢查 EnableSMB1Protocol  : True 

( 如果未安裝 SMBv1 Join AD Domain 錯誤訊息: "指定的網路名稱無法使用"

2. Windows Server 2019 透過 Default Domain Controller 設定 允許 

legacy Kerberos encryption types ，勾選 XP 支援類型。

GPO 設定路徑: 

Windows Settings - Security Settings - Local Policies - Security Options - 

Network security: Configure encryption types allowed for Kerberos

( 注意，並非全部勾選，AES128..., 256... 不支援 XP ) 

參考: https://docs.microsoft.com/zh-tw/windows/security/threat-protection/security-policy-settings/network-security-configure-encryption-types-allowed-for-kerberos 

額外參考連結

大部分 Google 的資料，都是在討論 smb v1 與 RC4 encryption  

https://docs.microsoft.com/zh-tw/windows/security/threat-protection/security-policy-settings/network-security-configure-encryption-types-allowed-for-kerberos

https://social.technet.microsoft.com/Forums/windowsserver/en-US/29bf5c6c-f854-4308-b9b3-7c688ddfb923/windows-xp-got-error-joining-domain-on-windows-server-2019?forum=ws2019

延伸閱讀

1. GPO 套用順序 

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/policy/group-policy-hierarchy 

套用結果可透過 gsop.msc 檢查

2. 發現 windows 10 無法存取 DC 上的 SYSVOL 與 NETLOGON 分享

http://woshub.com/cant-access-domain-sysvol-netlogon-folders/