银河麒麟提示“无法连接到公司域控服务器”时，需按序排查kerberos票据获取、dns解析、网络连通性、服务端监听及selinux拦截五类障碍：先kinit测试认证，再验证krb5.conf realm与kdc配置；用nslookup和nc -zv检查dns解析及389/88/464端口连通性；确认smbd、winbind服务运行并wbinfo -t通过；若getenforce为enforcing则临时setenforce 0定位selinux拦截；最后核对smb.conf中workgroup、security=ads、realm全大写且一致。
银河麒麟系统提示“无法连接到公司的域控服务器”时，说明本地已配置AD域集成组件但通信链路中断，需按顺序排查Kerberos票据获取、DNS解析、网络连通性、服务端监听状态及SELinux拦截五类硬性障碍。
验证Kerberos认证是否就绪
第一步：执行kinit测试域账号能否获取票据
在终端运行：kinit zhangsan@KYLINOS.COM（将zhangsan替换为实际域账号，KYLINOS.COM替换为实际域名）
若返回kinit: Preauthentication failed，说明密码错误或账户被禁用；若提示Client not found in Kerberos database，代表DNS未解析出域控制器或krb5.conf中realm拼写错误。
第二步：检查krb5.conf配置是否匹配域环境
打开/etc/krb5.conf，确认[realms]节下KYLINOS.COM对应的kdc和admin_server地址可解析且可达——【必须使用FQDN或IP，不能填主机名不带域名】。
确认DNS与网络层连通性
方法一：强制DNS解析域控制器
运行nslookup dc01.kylinos.com（替换为实际域控FQDN），若返回server can't find dc01.kylinos.com: NXDOMAIN，需检查/etc/resolv.conf中nameserver是否指向域控IP或企业DNS服务器。
方法二：绕过DNS直连测试端口
执行nc -zv 10.0.0.189 389（替换为域控IP），若显示Connection refused，说明AD域服务未监听LDAP端口；若超时，则防火墙或网络策略阻断了出向流量——【银河麒麟本机iptables/nftables必须放行389/88/464端口】。
检查Samba与Winbind服务状态
① 查看smbd是否运行：systemctl status smbd
若显示inactive (dead)，立即执行sudo systemctl start smbd并检查日志journalctl -u smbd -n 20。
② 验证winbind监听状态：ss -tlnp | grep winbind
正常应输出类似*:137 *:* users:(("winbindd",pid=1234,fd=23))的行；若无输出，说明winbind未启动或启动失败。
③ 重启winbind服务：sudo systemctl restart winbind
重启后立刻运行wbinfo -t测试信任关系——返回checking the trust secret via RPC calls succeeded才算通过。
排查SELinux或Kylin安全模块拦截
执行sudo getenforce，若返回Enforcing，临时切换为宽容模式：sudo setenforce 0。
再试kinit和wbinfo -u，若恢复成功，说明SELinux策略阻止了LDAP/Kerberos通信——此时不可永久关闭，应运行sudo ausearch -m avc -ts recent | audit2why定位具体拒绝项。
核对Samba配置关键字段
编辑/etc/samba/smb.conf，确保以下三处配置准确无误：
• workgroup = KYLINOS（填域名前缀，不是完整域名）
• security = ads（必须为ads，不能是user或domain）
• realm = KYLINOS.COM（必须全大写且与krb5.conf中realm完全一致）
修改后执行sudo testparm验证语法，无报错再重启smbd服务。
