Errores de recopilación de Active Directory

Después de cada escaneo interno con Active Directory, RECON registra el resultado de la recopilación para cada dominio y, si algo falla, te indica el motivo y cómo solucionarlo. Esta guía reúne todos los motivos posibles.

A partir del minuto 0:50, el vídeo muestra las comprobaciones básicas cuando Active Directory no devuelve resultados: el controlador de dominio debe ser accesible en el puerto 389 o 636 y las credenciales deben ser válidas.

Síntomas

En el escaneo interno, en la pestaña Active Directory, ves uno de estos avisos:

• Aviso rojo No se recopiló Active Directory: la recopilación falló, no hay datos y no se muestra ninguna puntuación de postura.
• Aviso ámbar Active Directory solo se recopiló en parte: faltan algunas partes del directorio. La postura se muestra con la etiqueta "Basado en datos incompletos" y el aviso enumera las partes que faltan en No recopilado por completo.
• La nota "El último intento de recopilación (fecha) falló. Los resultados siguientes proceden de la última recopilación correcta.": un intento más reciente falló, pero RECON sigue mostrándote la última recopilación válida.
• Aviso Estado de la recopilación desconocido: el resultado procede de una versión anterior de la sonda, que no informa del estado detallado.

Con varias sondas o varios dominios, el selector de dominios también puede mostrar para una sonda: AD no configurado, AD no solicitado, Recopilación de AD pendiente o Recopilación de AD fallida.

Causas

Cómo valora RECON una recopilación

Cada recopilación tiene un estado: correcta, parcial o fallida. La sonda lee el directorio en diez módulos: Raíz del dominio, Usuarios, Equipos, Grupos, Unidades organizativas, Directivas de grupo, Confianzas, Permisos (ACL), Servicios de certificados y SYSVOL. Cada módulo queda como Recopilado, Fallido, Acceso denegado u Omitido.

• Omitido significa "no aplicable" (por ejemplo, AD CS no está instalado) y nunca convierte la recopilación en parcial.
• Si uno o más módulos quedan como Fallido o Acceso denegado, la recopilación es parcial.
• Si fallan tanto la raíz del dominio como los usuarios, o la sonda no consigue conectarse o iniciar sesión, la recopilación ha fallado.

Reglas que te protegen de datos erróneos

• Una recopilación fallida nunca se muestra como un directorio limpio con cero hallazgos: no tiene puntuación de postura.
• Un intento fallido más reciente nunca borra la última recopilación válida de la misma sonda y el mismo dominio: ves los datos anteriores con la nota sobre el último intento.
• Una recopilación fallida no se contabiliza en el uso de tu cuenta.
• La sonda recopila Active Directory después de enviar los resultados del escaneo de red, con un máximo de 5 minutos por dominio. Por eso, una vez completado el escaneo, RECON espera de 5 a 20 minutos (5 minutos por cada dominio conectado) antes de indicar Recopilación de AD fallida; hasta entonces ves Recopilación de AD pendiente.

Motivos posibles

Soluciones

Para cada motivo, RECON muestra el texto bajo Cómo solucionarlo. Las credenciales y el controlador de dominio se modifican en la sonda: Sondas Internas, menú de la sonda, Editar, pestaña Active Directory. Después de cada corrección, vuelve a ejecutar el escaneo.

Sin cuenta de directorio

Qué ves: "La sonda no disponía de ninguna cuenta de directorio cuando se ejecutó el escaneo."

Cómo solucionarlo: "Añade una cuenta de directorio de solo lectura en Editar sonda → Active Directory y vuelve a ejecutar el escaneo." Si la credencial ya aparece como conectada, pulsa Resincronizar credencial y ejecuta el escaneo en los 15 minutos siguientes.

El nombre no se resuelve en DNS

Qué ves: "La sonda no pudo resolver en DNS el nombre del dominio o del controlador de dominio."

Cómo solucionarlo: "Asegúrate de que la sonda use tus servidores DNS internos (los que sirven la zona de AD) o introduce la dirección IP del controlador de dominio en la configuración de Active Directory de la sonda." El campo Dominio, IP o hostname acepta directamente la IP del controlador.

Controlador de dominio no encontrado

Qué ves: "No se encontró ningún controlador de dominio para este dominio."

Cómo solucionarlo: "Comprueba el nombre de dominio en la configuración de Active Directory de la sonda y que los registros SRV _ldap._tcp se resuelvan desde la sonda, o indica explícitamente el host del controlador de dominio."

Controlador de dominio inaccesible

Qué ves: "Se encontró un controlador de dominio, pero la sonda no pudo conectarse a él por LDAP."

Cómo solucionarlo: "Permite TCP 636 (LDAPS), o TCP 389 con StartTLS, desde la sonda hasta el controlador de dominio en todos los firewalls intermedios."

Sin canal cifrado

Qué ves: "La sonda no pudo abrir un canal LDAP cifrado (fallaron LDAPS, StartTLS y el sellado NTLM). Nunca envía credenciales por una conexión sin cifrar."

Cómo solucionarlo: "Habilita LDAPS en el controlador de dominio (instalando un certificado de servidor) o permite StartTLS en el puerto 389 y vuelve a ejecutar el escaneo."

Error de TLS

Qué ves: "Falló el handshake TLS con el controlador de dominio (problema de certificado o de protocolo)."

Cómo solucionarlo: "Comprueba que el certificado LDAPS del controlador de dominio sea válido (no caducado, con el nombre de host correcto) y que TLS 1.2 o superior esté habilitado."

Firma LDAP obligatoria

Qué ves: "El controlador de dominio exige una firma LDAP que la sonda no pudo proporcionar en este canal."

Cómo solucionarlo: "Habilita LDAPS (puerto 636) en el controlador de dominio para que la sonda pueda iniciar sesión por un canal cifrado y firmado."

Channel binding obligatorio

Qué ves: "El controlador de dominio exige channel binding LDAP y rechazó el inicio de sesión de la sonda."

Cómo solucionarlo: "Habilita LDAPS en el controlador de dominio y actualiza la sonda a la última versión. Si el error persiste, contacta con soporte adjuntando los detalles técnicos."

Credenciales rechazadas

Qué ves: "El controlador de dominio rechazó el usuario o la contraseña de la cuenta de directorio."

Cómo solucionarlo: "Vuelve a introducir o resincroniza la credencial de recopilación en la configuración de Active Directory de la sonda (Editar sonda → Active Directory) y vuelve a ejecutar el escaneo." Si la cuenta de recopilación se eliminó o su contraseña se cambió en Active Directory, elimina la conexión y vuelve a conectarla.

Cuenta deshabilitada, bloqueada o caducada

Qué ves: "La cuenta de directorio está deshabilitada, bloqueada o caducada, o su contraseña ha caducado."

Cómo solucionarlo: "Pide al administrador de AD que desbloquee o vuelva a habilitar la cuenta (o que restablezca su contraseña) y actualízala en la configuración de Active Directory de la sonda."

Raíz del directorio ilegible

Qué ves: "La sonda inició sesión, pero no pudo leer la raíz del directorio ni la lista de usuarios."

Cómo solucionarlo: "Asegúrate de que la cuenta sea un usuario de dominio normal (miembro de Domain Users) y de que su acceso de lectura al dominio no esté restringido."

Acceso denegado a algunas partes

Qué ves: "La sonda inició sesión, pero a la cuenta se le denegó el acceso de lectura a algunas partes del directorio."

Cómo solucionarlo: "Concede a la cuenta de recopilación acceso de lectura a las áreas denegadas que se indican a continuación (para la mayoría basta una cuenta estándar de Domain Users) y vuelve a ejecutar el escaneo." Las áreas denegadas son los módulos marcados como Acceso denegado.

Algunas partes no se recopilaron

Qué ves: "La sonda inició sesión, pero algunas partes del directorio no se pudieron recopilar."

Cómo solucionarlo: "Vuelve a ejecutar el escaneo. Si las mismas partes siguen fallando, comprueba la estabilidad de la conexión con el controlador de dominio y contacta con soporte adjuntando los detalles técnicos."

Tiempo agotado

Qué ves: "La recopilación agotó el tiempo disponible antes de terminar."

Cómo solucionarlo: "Vuelve a ejecutar el escaneo en un momento de menos carga y comprueba la latencia entre la sonda y el controlador de dominio. Los directorios muy grandes pueden necesitar una sonda más cercana a un controlador de dominio."

El recopilador se detuvo

Qué ves: "El recopilador de Active Directory se detuvo de forma inesperada."

Cómo solucionarlo: "Actualiza la sonda a la última versión y vuelve a ejecutar el escaneo. Si vuelve a ocurrir, contacta con soporte adjuntando los detalles técnicos."

Motivo inesperado

Qué ves: "La recopilación falló por un motivo inesperado."

Cómo solucionarlo: "Vuelve a ejecutar el escaneo. Si vuelve a fallar, contacta con soporte adjuntando los detalles técnicos que aparecen abajo."

Estado por sonda en el selector de dominios

• AD no configurado: la sonda no tiene cuenta de directorio. Conéctala desde la pestaña Active Directory de la sonda.
• AD no solicitado: el escaneo tenía desactivada la opción Incluir Active Directory. Déjala activada en el próximo escaneo.
• Recopilación de AD pendiente: la recopilación aún no ha llegado. Aparece en cuanto la sonda la carga.
• Recopilación de AD fallida: la sonda tiene una cuenta, pero la recopilación no se completó y no llegó nada. Comprueba que la sonda esté en línea y alcance el controlador de dominio, y vuelve a ejecutar el escaneo.

Prevención

• Mantén la sonda actualizada: con versiones anteriores, RECON deduce el estado a partir de los datos de cobertura y no puede indicarte el motivo exacto.
• Asegúrate de que la sonda use tus servidores DNS internos y alcance los controladores de dominio en el puerto 636, o en el 389 con StartTLS.
• Usa la cuenta de recopilación que creó la sonda y no la deshabilites ni cambies su contraseña en Active Directory.
• Después de conectar o modificar un dominio, ejecuta un escaneo en los 15 minutos siguientes o usa Resincronizar credencial.

Contactar con soporte

Si el problema persiste, abre Mostrar detalles técnicos en el aviso y adjunta el texto a tu solicitud. El detalle contiene el mensaje de error de la recopilación: para un inicio de sesión rechazado, normalmente el código devuelto por el controlador de dominio (por ejemplo data 52e) con el nombre o la IP del controlador; para una recopilación parcial, la lista de módulos fallidos con sus códigos. RECON elimina del texto contraseñas, hashes y otros secretos y lo limita a 300 caracteres.