Ax 4.0 SP1. Клиент не коннектится к AOSу

[Джон]

Вводная: есть два компа: сервер с Win Server 2003 и рабочая машина с XP. На сервере стоит AOS с Ax 3.0, на рабочей машине - клиент 3.0.

На сервере создал домен-контроллер и установил русскую Ax40SP1 на порт 27120. Если запустить с сервера клиента 4.0, клиент нормально коннектится к AOSу. На рабочую машину с XP установил клиента 4.0. Клиент к AOSу на сервере не коннектится, пишет "Failed to establish connection". Тройка продолжает работать на стандартном порту 2712.

Что пробовал/проверял:

Проверил порт 27120 на сервере телнетом с клиентской машины - виден. Стандартные брендмауэры выключены, дополнительных файрволов/антивиров - нет.

Если запустить на AOSе трассировщик RPC, при попытке подключения клиента c рабочей машины пишется трейс. То есть вроде что то по сетке проходит. Пробовал запустить трешку на порту 27120 - трешка нормально коннектится и работает. Пробовал остановить трешку и запустить четверку на стандартном порту 2712 - все равно клиент с рабочей машины к АОСу не коннектится.

Пробовал ввести машину с XP в домен, снести и переустановить клиента 4.0 под учетной записью админа домена и запустить под ней же клиента - то же самое, не коннектится. Пробовал установить всю аксапту локально на рабочую машину с ХР - локально все работает, но с сервера на эту машину тоже не коннектится.

Пробовал включить все службы на обоих машинах.

В евент логах на сервере и на клиенской машине - никаких сообщений нет.

Пробовал все тоже самое на другой паре сервер 2003 + машина с XP - тот же результат Failed to establish connection.

Что еще проверить?

Номер билда Kernal Version:4.0.2163.0 Application Version :4.0.2214.0

[mazzy]

Цитата:

Сообщение от Джон

Пробовал запустить трешку на порту 27120 - трешка нормально коннектится и работает. Пробовал остановить трешку и запустить четверку на стандартном порту 2712 - все равно клиент с рабочей машины к АОСу не коннектится.

А firewall на сервере как настроен?
На приложение или на порт?

Похоже, что на сервере открыто по приложению трешки. А четверка и порт в файерволе не прописан.

[Джон]

Firewall никак не настроен, его нет на сервере. Брендмауер выключен, фильтрации по TCP/IP нет. Телнет с клиента АОС на сервере видит. При попытке коннекта с включенной трассировкой RPC в момент коннекта пишется трейс. То есть что то с клиента до сервера долетает. Попробовал беттой TraceParcer'а посмотреть что в трейсе RPC - трейс не парсится

[mazzy]

Цитата:

Сообщение от Джон

Телнет с клиента АОС на сервере видит.

Да, виноват. Тогда не знаю.

[glibs]

А машина с ХР у вас в домене, который поднят на 2003-м?

Пользователь, под которым вы залогонены на ХР, в Аксапте настроен?

[mazzy]

Черт. Начал пробовать и получил ту же самую ситуацию...
Как так сделал? ХЗ.

Скажите, у вас на локальной машине AOS использует тот же порт, что и на сервере?
Не получается ли так, что порт на клиенте занят локальным АОСом?
А в настройках вы указываете удаленный сервер?

[Джон]

Цитата:

А машина с ХР у вас в домене, который поднят на 2003-м?

Пробовал и так и так - результат одинаков.

Цитата:

Пользователь, под которым вы залогонены на ХР, в Аксапте настроен?

Когда пробовал под админом домена - настроен. Когда с машины не в домене - нет. В обобих случаях ругалось именно "Failed to establish connection". Когда пользователь не заведен в аксапте - другое сообщение должно быть.

Цитата:

Скажите, у вас на локальной машине AOS использует тот же порт, что и на сервере?
Не получается ли так, что порт на клиенте занят локальным АОСом?

Тоже пробовал по разному, и выключать АОС на клиенте пробовал, и вообще без АОСа на клиенте.

Цитата:

А в настройках вы указываете удаленный сервер?

В смысле, правильно ли я настройки ввел в конфигурационной утилите на клиенте?
Тоже пробовал разные варианты, IP/имя указывать, указывать не указывать инстанс, не указывать порт когда сервер на 2712 настроен.


Я вот что ночью пробовал. Снес АОС на сервере и поставил АОС c не локализованной 4.0. А на клиенте - переставил клиента. И все заработало!
Правда при входе в аксапту ругань в инфологе - я приложение не преставлял, но клиент к серверу коннектится! Работает и на стандартном 2712 и на 27120 и на 2713.
Снес эту версию, поставил 4.0 СП1 - по прежнему не работает. В СП1 баг?

[glibs]

Цитата:

Сообщение от Джон

...
Когда пробовал под админом домена - настроен. Когда с машины не в домене - нет. В обобих случаях ругалось именно "Failed to establish connection". Когда пользователь не заведен в аксапте - другое сообщение должно быть.
...

Возможно... просто я когда экспериментировал, то в первый раз получил именно такое сообщение. Причем в маленьком окошке в заголовке слева сверху было написано Login failed (или что-то похожее, точно не помню). Потом мне удалось добиться другого сообщения, а это назад вернуть не смог.

Цитата:

Сообщение от Джон

...
В СП1 баг?
...

Ввиду того, что Микрософт кричит, что он очень активно занимается вопросами безопасности системы, возможно, что и фича . Я уже писал про особенности конфигурационной утилиты на эту тему, но куда-то пропало.

[Джон]

Все, законнектил!

Я пробовал в одной из пар "сервер - рабочая станция" ввести машину с ХП в домен и запустить клиента под записью админа домена. Сейчас попробовал на второй паре: тоже ввел машину в домен, зашел под админом домена - клиент законнектился. Надо попробовать на первой паре еще раз все настроить, непонятно почему на ней не работает.

Дальше я поэкспериментировал. Чтобы настройки клиента 100% совпадали, зашел под админом домена и выгрузил ветку реестра с рабочей конфигурацией настроек клиента. Зашел на клиентскую машину под локальным админом, залил экспортированную ветку, выбрал залитую в реестр конфигурацию, запустил клиента - снова облом, "Failed to establish connection". При этом я мониторил SQL запросы на сервере профайлером - при попытке коннекта клиентом обращений к базе вообще нет. Дальше я создал новую учетную запись пользователя в домене, тоже залил в реестр конфиг клиента и запустил под ней - коннектится. Прав стандартной группы пользователей домена для коннекта хватает.

Итого, в СП1, если клиент запущен не под доменной учетной записью, идет отлуп "Failed to establish connection", исключение - если АОС и клиент запущены на одной машине.

[if_maks]

такая же байда. не могу подключиться с рабочей станции с ХР, которая в том же домене на 2003 сервер где стоит Аксапта. Захожу на сервак под тем же доменным пользователем что и на рабочую машину - все работает.
Вообщем вопрос актуальный - как подключиться с рабочей станции к AOS у???

[mazzy]

Цитата:

Сообщение от if_maks

такая же байда. не могу подключиться с рабочей станции с ХР, которая в том же домене на 2003 сервер где стоит Аксапта. Захожу на сервак под тем же доменным пользователем что и на рабочую машину - все работает.

Вы наверняка еще не ввели пользователей.
Вы наверняка пытаетесь зайти под администратором, которого Аксапта создала во время первого захода.
Вы наверняка выполнили первый заход из под "доменного пользователя что и на рабочую машину".

В результате у созданного во время первого захода администрстратора прописан SID пользователя вашей рабочей машины.

Создайте пользователей и укажите правильный домен.
Будете входить нормально.

Если вы хотите, чтобы администратором Аксапта считала доменного пользователя измените SID руками.
См. Amand: Доступ в Microsoft Dynamics AX 4.0 без Active Directory

[blokva]

Цитата:

Сообщение от mazzy

....
Вы наверняка выполнили первый заход из под "доменного пользователя что и на рабочую машину".

В результате у созданного во время первого захода администрстратора прописан SID пользователя вашей рабочей машины.
.....
Если вы хотите, чтобы администратором Аксапта считала доменного пользователя измените SID руками.
См. Amand: Доступ в Microsoft Dynamics AX 4.0 без Active Directory

Сергей, а можно подробнее!
У меня имя локального пользователя на ноуте и имя доменного пользователя одинаковое!
Я не могу зайти со своего ноута на сетевую Аксапту 4, ни находясь в домене ни как по другому (например запуск от имени). Неужели одинаковые имена являются корнем зла?
SID я смотрел - он доменный, т.е. как я понял все нормально.

[mazzy]

Цитата:

Сообщение от blokva

У меня имя локального пользователя на ноуте и имя доменного пользователя одинаковое!

А она не по именам разбирает, а по SID'ам.

В простейшем случае, SID'ы можно найти в реестре.


На контроллере ActiveDirectory SID'ы хранятся в базе AD, а не в реестре.

Но суть в том, что имя сейчас мало что значит, хотя по нему проверка все еще идет.
Но основная проверка идет по этому SID'у.


Еще раз ссылка на совет Михаила Андреева
Amand: Доступ в Microsoft Dynamics AX 4.0 без Active Directory

[if_maks]

не понятно
как же все с 4-ой сейчас работают? ведь уже кто то работает с ней? или нет такой проблемы???

[mazzy]

Цитата:

Сообщение от if_maks

не понятно
как же все с 4-ой сейчас работают? ведь уже кто то работает с ней? или нет такой проблемы???

И, пожалуйста, не надо брать на слабо.
Если вам не отвечают, это не значит, что "никто не работает с ней".
См. Как правильно задать вопрос, что бы быть услышанным?

[doo]

ситуация такая. я захожу в 4-ку нормально и с ноута и с сервера. но коллега мой этого сделть не может. я. захожу в список пользователей. добавляю его туда, прописываю домен, прописываю код пользователя (такой же как и псевдоним. правильно ли это?) и при попытке поставить галку "активный" аксапта мне говорит: "Этот счет пользователя не существует в Active Directory." как сие понимать?

[mazzy]

Цитата:

Сообщение от doo

и при попытке поставить галку "активный" аксапта мне говорит: "Этот счет пользователя не существует в Active Directory." как сие понимать?

Варианты:
1. вы неправильно указали имя пользователя или домен
2. Аксапта не имеет права обращаться к АктивДиректори (либо служба, либо сам сервер)
3. АктивДиректори выключен (или физически недоступен) в момент установки галочки.

[doo]

Цитата:

Сообщение от mazzy

Варианты:
2. Аксапта не имеет права обращаться к АктивДиректори (либо служба, либо сам сервер)
3. АктивДиректори выключен (или физически недоступен) в момент установки галочки.

2. что нужно сделать, чтоб она получила эти права?

а почему тогда я спокойно захожу? и ещё. аксапта (?) сама прописала меня в пользователей с кодом пользователя "Admin". это правильно?

[mazzy]

Цитата:

Сообщение от doo

2. что нужно сделать, чтоб она получила эти права?

1. Прочитать доку
2. Самый грубый метод - включите доверительные отношения между сервером и компом на котором установлен AOS.

Цитата:

Сообщение от doo

а почему тогда я спокойно захожу?

Потому что вас она определила на этапе установки.
Определила от вашего имени и с вашими правами.

А пользователей она добавляет от имени AOS'а и с правами AOS'а.

Цитата:

Сообщение от doo

и ещё. аксапта (?) сама прописала меня в пользователей с кодом пользователя "Admin". это правильно?

Правильно ли это? Это религиозный вопрос, на который очень трудно дать однозначный ответ. Я, например, считаю, что это неправильно.

Что можно сказать совершенно однозначно: да Аксапта делает именно так, она привязывает к Администратору того пользователя, который первым запустил клиента Аксапты после установки AOS'а.

[gl00mie]

Цитата:

Сообщение от doo

2. что нужно сделать, чтоб она получила эти права?

по умолчанию эти права (на чтение AD) есть практически у всех, в т.ч. у учетных записей компьютеров, входящих в домен и, соотв., у служб, запущенных под local system на таких компьютерах. Другое дело, что в случае с local system и другими встроенными учетными записями w2k при чтении данных из AD ведет себя несколько иначе, нежели w2k3. Небольшое исследование по этому поводу можно найти в теме AX-4.0 Права для службы под которой работает сервис AOS

Цитата:

Сообщение от doo

аксапта (?) сама прописала меня в пользователей с кодом пользователя "Admin". это правильно?

Хм... "If nothing else helps - read, finally, instruction!" © Закон Мерфи

Цитата:

Сообщение от mazzy

А она не по именам разбирает, а по SID'ам.
В простейшем случае, SID'ы можно найти в реестре.

Чтобы не гадать, чья ветка реестра к кому относится, можно воспользоваться утилитой whoami из w2k3 (с параметром /user) или из winxp support tools (с параметрами /user /sid).

Цитата:

Сообщение от mazzy

На контроллере ActiveDirectory SID'ы хранятся в базе AD, а не в реестре. Но суть в том, что имя сейчас мало что значит, хотя по нему проверка все еще идет.

Я в тестовой базе менял SID у "постороннего" пользователя на свой - и AX4 после этого осуществляла вход именно под тем пользователем, у которого был найден нужный SID, несмотря на то, что логин у него в базе прописан был совершенно другой. Также, мне кажется, о чем-то должно говорить наличие на таблице userinfo индексов всего по двум полям - ID и SID.