Belajar Active Directory - Common Active Directory Issues

#Pendahuluan

Di episode 21 kalian mengenal kotak peralatan troubleshooting — dcdiag, repadmin, nltest, dan kawan-kawannya. Sekarang waktunya berlatih pada kasus nyata. Di episode 22 ini kita membedah common Active Directory issues: masalah yang paling sering dilaporkan di meja helpdesk dan ruang server, dari DC yang berhenti mereplikasi hingga krbtgt yang menjadi korban kesalahan administrasi.

Pola pemecahan selalu sama: identifikasi gejala, kumpulkan bukti dengan alat yang tepat, temukan akar masalah, lalu perbaiki. Di sini kalian melihat pola itu diulang di delapan skenario berbeda.

#DC Tidak Mereplikasi

Gejala: perubahan di satu DC tidak muncul di DC lain. Cek dengan repadmin /replsummary lalu repadmin /showrepl pada DC yang bermasalah. Penyebab paling umum:

Koneksi gagal — DC tidak bisa menjangkau mitranya karena firewall memblokir port RPC (135) dan 49152-65535.
DNS salah — DC memakai server DNS yang tidak mengenal _msdcs zone.
Kredensial kedaluwarsa — akun mitra replikasi yang terlalu lama menyebabkan error akses.

Cek kegagalan replikasi dan paksa sinkronisasi

Get-ADReplicationFailure -Scope Domain
repadmin /syncall dc02 /AdeP

Warning

Jika error menyebut USN rollback atau DC kembali ke snapshot, jangan paksa sinkronisasi. Itu kondisi darurat yang butuh pemulihan khusus — memaksa replikasi justru bisa menyebarkan data yang salah.

Gejala login gagal bisa datang dari banyak arah. Telusuri berurutan:

Secure channel putus — "trust relationship failed" pada komputer. Perbaiki dengan Reset-ComputerMachinePassword di mesin atau netdom resetpwd /s:server /ud:domain\user /pd:* dari sisi server.
Akun terkunci — cek event 4740 di log Security untuk melihat sumber percobaan password salah. Buka kunci dengan Unlock-ADAccount.
Password kedaluwarsa — atur ulang atau perpanjang dengan Set-ADAccountPassword.

Tip

Akun terkunci tidak dibuka tanpa investigasi — cari dulu dari mana percobaan datang, karena seringkali itu adalah script lama atau drive mapping yang memakai kredensial usang.

#GPO Tidak Apply

Gejala: setting Group Policy tidak muncul di komputer atau user. Verifikasi dulu apa yang sebenarnya di-apply:

gpresult /r — menampilkan GPO yang diterapkan dan yang diblokir, lengkap dengan urutan LSDOU.
gpupdate /force — memaksa refresh untuk menguji apakah GPO baru masuk.
Cek event 6005 dan 1058 di log aplikasi — 1058 menandakan file GPO di SYSVOL tidak dapat dibaca.

Penyebab umum GPO tidak apply: objek GPO di SYSVOL tidak tersinkron antar DC (berhubungan dengan masalah SYSVOL di bawah), security filtering salah, atau WMI filter yang terlalu ketat.

#Time Skew

Kerberos menolak tiket jika selisih jam antara klien dan DC melebihi 5 menit. Gejala klasiknya: "clock skew too great" atau error 0x80090304 saat autentikasi.

Perbaikan bersifat sistemik: pastikan semua server waktu disinkronkan ke sumber yang sama. Di DC, PDC Emulator adalah otoritas waktu domain, dan DC lain menyinkronkan darinya.

Cek dan resinkronisasi waktu

w32tm /query /status
w32tm /config /manualpeerlist:pool.ntp.org /syncfromflags:manual /reliable:yes
w32tm /resync

#Kegagalan Registrasi DNS

Gejala: komputer tidak muncul di DNS, dcdiag /test:dns gagal, atau klien tidak bisa menemukan DC. Penyebab utama:

Dynamic update dimatikan — zona DNS tidak mengizinkan secure dynamic updates.
Zona tidak AD-integrated — perubahan hanya di server tertentu.
IP address salah — komputer memakai DNS yang salah sehingga mendaftarkan diri di zona yang salah.

Periksa catatan DNS dengan nslookup -type=SRV _ldap._tcp.corp.local. Pastikan zona corp.local terintegrasi AD dan Secure only untuk dynamic updates.

#Masalah SYSVOL

SYSVOL adalah folder berbagi yang menyimpan template Group Policy dan skrip logon. Masalah umum:

FRS vs DFSR — DC lama memakai FRS, yang sudah dihentikan Microsoft sejak Windows Server 2012 R2. Migrasi ke DFSR wajib: dfsrmig /getglobalstate untuk melihat status, lalu dfsrmig /setglobalstate 1 untuk naik tahap.
Share SYSVOL hilang — pengguna tidak bisa baca kebijakan; periksa share \\server\SYSVOL masih terbagi dan file GPT.INI ada.

Important

Jika SYSVOL antar DC tidak sinkron, GPO akan berbeda antara satu DC dan DC lain. Perbaiki migrasi DFSR sebelum menambah GPO baru.

#Masalah krbtgt

Akun krbtgt adalah kunci yang menandatangani semua tiket Kerberos di domain — ia adalah fondasi autentikasi. Masalah muncul saat:

Password krbtgt di-reset sembarangan — semua tiket yang masih berlaku langsung menjadi tidak valid, dan seluruh domain seolah "logout".
Reset dilakukan tanpa sengaja oleh skrip yang salah.

Jika krbtgt perlu di-reset (misalnya setelah kompromi), lakukan dua kali dengan jeda antar reset minimal 12 jam, dan pastikan replikasi selesai di antara keduanya. Ini membuang tiket lama sekaligus mencegah ticket yang dikeluarkan sebelum reset pertama tetap sah.

Warning

Reset krbtgt bukan operasi harian — ini operasi darurat. Selalu dokumentasikan alasan dan waktu reset, dan jangan pernah mereset krbtgt pada kedua DC hampir bersamaan tanpa memastikan replikasi.

#Penutup

Di episode ini kalian berlatih menangani delapan masalah paling umum:

Replikasi: cek repadmin /replsummary dan perbaiki koneksi, DNS, atau kredensial.
Login: perbaiki secure channel, buka kunci akun, dan kelola kedaluwarsa password.
GPO: verifikasi dengan gpresult /r dan selidiki SYSVOL.
Time skew: sinkronkan waktu ke satu sumber yang sama.
DNS: pastikan zona terintegrasi AD dan dynamic update aman.
SYSVOL: selesaikan migrasi FRS ke DFSR.
krbtgt: tangani dengan hati-hati dan hanya untuk alasan darurat.

Masalah yang sama bisa dicegah sebelum terjadi — dan itu butuh pengamatan, bukan sekadar perbaikan. Di episode 23, kita menjadi pengawas: Active Directory security monitoring — advanced audit policy, Windows Event Forwarding, Sysmon, integrasi SIEM, dan cara mendeteksi Kerberoasting, golden ticket, serta pass-the-hash. Sampai jumpa!